NTTと早稲田大学、ReDoS脆弱性への実用的な自動修正技術を実現

　日本電信電話株式会社（NTT）と学校法人早稲田大学は3月23日、文字列のチェック機能の処理時間を長期化させコンピュータの負荷を大幅に増大させる攻撃を引き起こす脆弱性への実用的な自動修正技術の実現を発表した。

　文字列のパターンマッチに用いられる正規表現では、特定の文字の並びをルールに基づき簡略化し表現する方法で、Webサービス等でユーザの入力値が期待したものであるかの検証などで利用されているが、正規表現を用いた文字列のパターンマッチを行う機能に対し、処理時間が長くなる入力を与えることで計算リソースを消費しサービス運用妨害を引き起こすReDoS脆弱性が近年、グローバルで大きな脅威となっていた。

　NTTと早稲田大学では、実世界の正規表現を対象にReDoS脆弱性と脆弱性がないことを保証する条件を厳密に定義してReDoS脆弱性の修正問題を形式化し、その修正問題を解くアルゴリズムを考案することで、理論的な保証付きのReDoS脆弱性自動修正技術を実現した。本成果は、セキュリティとプライバシー分野の最難関国際会議IEEE S&P 2022（43rd IEEE Symposium on Security and Privacy）に採録され、2022年5月22～26日に「Repairing DoS Vulnerability of Real-World Regexes」のタイトルで発表される。