Node.js Email/HTTP Auth Parsing DoS Vulnerability and Fix Analysis

Vulnerability Overview This vulnerability involves issues with scan length limits in email names and HTTP authentication. Specifically, the lack of reasonable input length restrictions during the parsing of email addresses and HTTP authentication information may lead to Denial of Service (DoS) attacks. Impact Scope Email Name Parsing: When parsing email names, the absence of input length limits may cause the parser to enter an infinite loop or consume excessive resources. HTTP Authentication Parsing: Similarly, the HTTP authentication parsing module lacks length limit checks, which may trigger similar Denial of Service attacks. Remediation Steps 1. Limit Scan Length: Implement input length restrictions when parsing email names and HTTP authentication information to prevent the parser from processing excessively long inputs. 2. Code Modifications: - In the file, optimize the regular expressions and by incorporating length limits. - In the file, add test cases to verify the effectiveness of the fix. POC Code ```javascript // lib/re.mjs // Before modification re_src_auth = '{7:(?:T re_src_email_name = '{7:[^&\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[\\]\\\\,;@\\s\\[

Goal Reached Thanks to every supporter — we hit 100%!

Node.js Email/HTTP Auth Parsing DoS Vulnerability and Fix Analysis

More from this source