CVE-2026-77422

JLine: ReDoS in Built-in grep Command Amplified by Automatic `.*` Wrapping

CVSS 3.1High

7.5/ 10.0

Опубликовано

23 сентября 2026 г.

Обновлено

24 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.30.15, 4.3.1

Обновите зависимость JLine до версий 3.30.15, 4.3.1 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

ReDoS-уязвимость во встроенной команде grep библиотеки JLine. Автоматическое обрамление регулярного выражения шаблоном .* приводит к катастрофическому возврату.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В файле builtins/src/main/java/org/jline/builtins/PosixCommands.java функция grep(...) оборачивает пользовательские regex-выражения префиксом и суффиксом .* без флага line-regexp. Движок Java Regex уходит в экспоненциальный backtracking.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

DoS-состояние: стопроцентная утилизация процессорных ядер, зависание рабочих потоков и блокировка интерактивных CLI-сессий, включая удаленные shell-подключения.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

jlinejline3

>= 3.0.0➔Fix: 3.30.15

jlinejline3

>= 4.0.0➔Fix: 4.3.1

——

>= 4.0.0➔Fix: 4.3.1

——

>= 3.0.0➔Fix: 3.30.15

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)

github.comhttps://github.com/jline/jline3/security/advisories/GHSA-r2xf-8xr9-62gw
github.comhttps://github.com/jline/jline3/pull/2012
github.comhttps://github.com/jline/jline3/pull/2018
github.comhttps://github.com/jline/jline3/commit/1d5fc3099e77938b971e197211cad2d4fbb17541
github.comhttps://github.com/jline/jline3/commit/341ee69ccc57b7733c1b40d6993219b64b3206ae
github.comhttps://github.com/jline/jline3/releases/tag/4.3.1
github.comhttps://github.com/jline/jline3/releases/tag/jline-3.30.15

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-77422: JLine: ReDoS in Built-in grep Command Amplified by Automatic `.*` Wrapping. URL: https://cve.futuretools.ru/cve/CVE-2026-77422

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_77422,
  title = {{CVE-2026-77422: JLine: ReDoS in Built-in grep Command Amplified by Automatic `.*` Wrapping}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-77422}},
  note = {Оперативный инженерный анализ киберугроз}
}