安全性: ParametersUtils 参数替换中的 ReDoS(CodeQL 警报 #6)

** 规则java/polynomial-redos ' 严重性** 档案: QQCore/src/main/java/com/netflix/导体/core/utils/ParamelsUtils.java\.

分发号为1010.

□ 问题 QQPATTERN(定义为ParametersUtils.java:56')是一个复杂的regex,有嵌入式限定词,适用于工作流程执行过程中的**每个弦值任务参数**(PATTEN.matcher(paramString)',位于第258行)。

外部工人的任务输出会流入下一个任务输入参数,所以工人返回的一款被精心设计的字符串可以将匹配者驱动入O(n2)-到责任回溯. 这可以在外部部署中达到——这是继SSF之后史诗中真实世界风险最高的项目.

□ 调整方向 用线性/线性解析器(或有界限的、无后行的正则克)来取出`${...}。 保留现有的替代语义;增加单位测试,加上目前会爆炸的对抗性输入.