CVE-2026-77422
Publiée le 2026-09-23 · Dernière modification le 2026-09-24
Les applications utilisant la bibliothèque Java JLine pour la saisie console sont vulnérables à une attaque par déni de service via la commande grep intégrée. Un attaquant distant non authentifié peut faire planter ou figer le système en envoyant une expression régulière spécifiquement conçue pour consommer des ressources CPU excessives. Cette exploitation est facile à exécuter car elle ne nécessite aucune authentification préalable ni interaction de l'utilisateur, au-delà d'un accès réseau à une session shell.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
JLine is a Java library for handling console input. From 3.0.0 until 3.30.15 and 4.3.1, the JLine built-in grep command in builtins/src/main/java/org/jline/builtins/PosixCommands.java accepts a user-controlled regular expression in grep(...) and, unless line-regexp mode is used, automatically adds a dot-star prefix and suffix before compiling it with Java's backtracking regular expression engine. The wrapping expands the backtracking search space, so a short nested-quantifier expression evaluated against non-matching input can consume excessive CPU and indefinitely block a command worker, including in remotely exposed shell sessions. This issue is fixed in versions 3.30.15 and 4.3.1.