CVE-2026-77420

JLine: ReDoS via `HISTORY_IGNORE` Configuration Variable

CVSS 3.1Medium

5.5/ 10.0

Опубликовано

23 сентября 2026 г.

Обновлено

29 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.30.15, 4.3.1

Обновите библиотеку JLine до версии 3.30.15 (ветка 3.x) или 4.3.1 (ветка 4.x).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Отказ в обслуживании (ReDoS) в библиотеке JLine при обработке переменной HISTORY_IGNORE.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях от 3.0.0 до 3.30.15 и 4.3.1 метод DefaultHistory.matchPatterns преобразует значение HISTORY_IGNORE в регулярное выражение Java с неполным экранированием спецсимволов. Передача вложенных квантификаторов вызывает катастрофический бэктрекинг движка при добавлении команд в историю.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

DoS-атака: 100% утилизация CPU и бессрочная блокировка потока чтения консольного ввода.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

jlinejline3

>= 3.0.0➔Fix: 3.30.15

jlinejline3

>= 4.0.0➔Fix: 4.3.1

——

>= 4.0.0➔Fix: 4.3.1

——

>= 3.0.0➔Fix: 3.30.15

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)

github.comhttps://github.com/jline/jline3/security/advisories/GHSA-5q95-hrpc-m3w3
github.comhttps://github.com/jline/jline3/pull/2012
github.comhttps://github.com/jline/jline3/pull/2018
github.comhttps://github.com/jline/jline3/commit/1d5fc3099e77938b971e197211cad2d4fbb17541
github.comhttps://github.com/jline/jline3/commit/341ee69ccc57b7733c1b40d6993219b64b3206ae
github.comhttps://github.com/jline/jline3/releases/tag/4.3.1
github.comhttps://github.com/jline/jline3/releases/tag/jline-3.30.15

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-77420: JLine: ReDoS via `HISTORY_IGNORE` Configuration Variable. URL: https://cve.futuretools.ru/cve/CVE-2026-77420

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_77420,
  title = {{CVE-2026-77420: JLine: ReDoS via `HISTORY_IGNORE` Configuration Variable}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-77420}},
  note = {Оперативный инженерный анализ киберугроз}
}