在setuptools65.5.1之前的版本中存在着一个正则表达式拒绝服务的Dos漏洞。当攻击者以调用setuptools中的package_index模块的REL变量的时候，如果该变量调用的函数中传入的参数带有很长的空字符串，会极大的消耗系统的资源

在使用setuptools的package_index模块时，看看是否有调用到REL这个，如果没有，则忽略。有的话再查看REL调用的函数，比如search，match，findall，fullmatch等等函数参数中是否带有很长的空字符串，类似这样setuptools.package_index.REL.search('< rel=' + ' ' * 2**12)，如果有的话，请去掉这些空字符串。

复现代码：

import setuptools.package_index as sp
sp.REL.search('< rel=' + ' ' * 2**12)

会长时间运行

其中该cve还涉及到了接口变更。

变更一，如果st中字符串(复现代码中的字符串st)包含rel = 字符，如果=(rel后面的等号)前后的空字符串超过10位(不包含10位)，修复前正常返回，修复后返回None

复现代码：

import setuptools.package_index as ap
st = '< rel ='+ ' '*11 + '>'
print(ap.REL.search(st))

或者

import setuptools.package_index as ap
st = '< rel' +' '*11 + '= >'
print(ap.REL.search(st))

修复前

>>> import setuptools.package_index as ap
>>> st = '< rel ='+ ' '*11 + '>'
>>> print(ap.REL.search(st))
<re.Match object; span=(0, 19), match='< rel =           >'>

修复后：

>>> import setuptools.package_index as ap
>>> st = '< rel ='+ ' '*11 + '>'
>>> print(ap.REL.search(st))
None

变更二，如果st中字符串(复现代码中的字符串st)包含<rel = >字符，如果最后一个>字符前面=字符后面没有非空字符串时，也就是说=字符后面>字符前面没有其他字符，那么修复前正常返回，修复后返回None

复现代码：

import setuptools.package_index as ap
st = '< rel = >'
print(ap.REL.search(st))

修复前：

>>> import setuptools.package_index as ap
>>> st = '< rel = >'
>>> print(ap.REL.search(st))
<re.Match object; span=(0, 9), match='< rel = >'>

修复后：

>>> import setuptools.package_index as ap
>>> st = '< rel = >'
>>> print(ap.REL.search(st))
None

当调用setuptools中的package_index模块的REL变量的时候，如果该变量调用的函数中传入的参数带有很长的空字符串，会极大的消耗系统的资源，所以上游限制了不超过10个空字符串。如果业务中有使用REL调用相关函数时，需要注意长度超过10的空字符串带来的影响。

影响性分析说明:setuptools65.5.1之前的版本中存在着一个正则表达式拒绝服务的Dos漏洞。当攻击者以调用setuptools中的package_index模块的REL变量的时候，如果该变量调用的函数中传入的参数带有很长的空字符串，会极大的消耗系统的资源

openEuler评分: (评分和向量)7.5

受影响版本排查(受影响/不受影响):
1.openEuler-20.03-LTS-SP1(44.1.1):受影响
2.openEuler-20.03-LTS-SP3(44.1.1):受影响
3.openEuler-22.03-LTS(59.4.0):受影响
4.openEuler-22.03-LTS-SP1(59.4.0):受影响

修复是否涉及abi变化(是/否)：
1.openEuler-20.03-LTS-SP1(44.1.1):是
2.openEuler-20.03-LTS-SP3(44.1.1):是
3.openEuler-22.03-LTS(59.4.0):是
4.openEuler-22.03-LTS-SP1(59.4.0):是

影响性分析说明:setuptools65.5.1之前的版本中存在着一个正则表达式拒绝服务的Dos漏洞。当攻击者以调用setuptools中的package_index模块的REL变量的时候，如果该变量调用的函数中传入的参数带有很长的空字符串，会极大的消耗系统的资源

openEuler评分: (评分和向量)7.5
Vector：CVSS：3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

受影响版本排查(受影响/不受影响):
1.openEuler-20.03-LTS-SP1(44.1.1):受影响
2.openEuler-20.03-LTS-SP3(44.1.1):受影响
3.openEuler-22.03-LTS(59.4.0):受影响
4.openEuler-22.03-LTS-SP1(59.4.0):受影响

修复是否涉及abi变化(是/否)：
1.openEuler-20.03-LTS-SP1(44.1.1):是
2.openEuler-20.03-LTS-SP3(44.1.1):是
3.openEuler-22.03-LTS(59.4.0):是
4.openEuler-22.03-LTS-SP1(59.4.0):是