PCRE2 JIT 编译器曝高危越界写入漏洞,或可致远程代码执行
jedisct1 · x · 2026-10-14
PCRE2 维护者披露高危漏洞 GHSA-r9hj-j2rw-4q3m:JIT 编译的正则匹配在可增长 JIT 栈上发生越界写入。当单个栈分配超过栈的固定增长量时,后续写入会落到已分配区域之下。
- 触发条件:攻击者可控的正则被 JIT 编译并匹配,且应用使用 pcre2jitstackcreate()/assign() 创建的可增长栈;含大量捕获组的模式可触发
- 影响范围:PCRE2 ≤10.48 所有含该 JIT 栈实现的版本,8/16/32 位均受影响;解释器与 DFA 匹配不受影响
- 后果:进程崩溃、相邻内存损坏,潜在远程代码执行
- 修复:升级至 10.49,或禁用 JIT/使用默认机器栈
作者同时推荐其替代正则库 ReVera。
「安全」频道最新
- Green 警告：AI 将让攻击者获得国家级漏洞开发能力，防守远未跟上 — matthew_d_green · 2026-10-14
- 密码学家 Matthew Green：AI 时代网络攻击破坏力将放大万倍 — matthew_d_green · 2026-10-14
- 军情五处：已捕获利用 AI 强化侦察与无人机攻击的恐怖分子 — connoraxiotes · 2026-10-14
- OpenAI 办公室现窃密录音设备,涉事员工被 FBI 逮捕 — AlyoshaV · 2026-10-14
- 欧盟隐私监管机构呼吁：智能眼镜录制时必须明确提示 — Polymarket · 2026-10-14
- NBER 论文：随机审计何时能对齐会隐瞒的 AI Agent — joshgans · 2026-10-14