CVE-2026-77423
Publiée le 2026-09-23 · Dernière modification le 2026-09-24
Les applications Java utilisant la bibliothèque JLine pour la saisie console sont vulnérables à une attaque par déni de service via le visionneur `less` intégré. Un attaquant distant non authentifié peut envoyer une expression régulière spécialement conçue qui consomme un excès de CPU, risquant ainsi de figer l'application ou d'épuiser les ressources du serveur. Cet exploit est facile à exécuter car il ne nécessite aucun privilège particulier ni interaction de l'utilisateur, au-delà d'un accès réseau au service concerné.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
JLine is a Java library for handling console input. From 3.0.0 until 3.30.15 and 4.3.1, the JLine built-in less viewer passes user-controlled search and display-filter patterns from getPattern(boolean doDisplayPattern) in builtins/src/main/java/org/jline/builtins/Less.java directly to Java's backtracking regular expression engine and repeatedly applies them to file content. A nested-quantifier expression evaluated against non-matching lines can consume excessive CPU and indefinitely block the session thread, and repeated sessions in Telnet or SSH deployments can exhaust a bounded worker pool. This issue is fixed in versions 3.30.15 and 4.3.1.