ReDoS 検出の最先端 recheck の紹介 / State of the Art of ReDoS Detection

YAPC::Japan::Online 2022 での発表資料です。 recheck: https://makenowjust-labs.github.io/recheck

[yigarashi]

わかりやすい

[bosatsumiroku]

不特定多数から自由に正規表現を受け付けるサーバーアプリがどれほどあるのだろうか。固定の正規表現だったらテスト時に判明するだろうし。興味深いが、このツールが必要となる状況がピンとこない。

[shunkeen]

PEG（Parsing Expression Grammar）のパックラット構文解析みたいに、空間計算量を犠牲にしてReDosをどうにかする正規表現エンジンとかないのかな＞”正規言語でない拡張に対しては、オートマトンの解析による検出は無力”

[SWIMATH2]

すご、コードレビューするときにReDoSの話気になることたまにあるけどかなり直感でレビューしてたので使いたい。/スライドもおもろいしかなり好き

[katsyoshi]

最近（ここ1年かな）割と話題だし、理屈的にはわかるがなんで今まで問題にならなかったのかわからないな

[door-s-dev]

ReDoSなんて攻撃があるのか。最近正規表現使ってないな

[skypenguins]

正規表現は沼だな…

[mohritaroh]

すごい

[hitode909]

かっこいい

[mizdra]

遺伝的アルゴリズムと fuzzing で悪意のある入力文字列を生成し、ReDos 脆弱性を検出するツールについて。今の所 JavaScript の正規表現がサポートされていて、eslint rule も提供されている。めっちゃ良い。

[kenzy_n]

変わらない日々