PCRE Heap Overflow

セキュリティ

PCRE Heap Overflow May Let Users Execute Arbitrary Code
http://securitytracker.com/alerts/2005/Aug/1014744.html

PCRE Quantifier Values Integer Overflow Vulnerability
http://secunia.com/advisories/16502/

Perl 互換の正規表現ライブラリである PCRE の バージョン 6.1 以下に Heap Overflow の欠陥が見つかっているそうです。PCRE に {...,...} で指定する繰り返しの最大、最小数に 65536 以上の値を指定すると問題になるようです。
PCRE は Python や Apache、PHP など、広く使用されていますが、PCRE に直接正規表現の値を渡すようにしている場合はこの問題の影響を受けるようです。
現在は PCRE 6.3 が公開されています。

PHP 4.4.0 で調べてみたところでは 65536 以上の値を指定すると以下のようにエラーになりましたので、大丈夫のようにも思われますが、問題の影響を受ける可能性はありますので、気を付けてください。

$ php -r "echo preg_replace( '/t{1,65536}/', '', 'test' );"

Warning: preg_replace(): Compilation failed: number too big in {} quantifier at offset 9 in Command line code on line 1