fix(issue-275): coalesce 2 or more asterisks into 2

Eliminating ReDoS risk: #275

Author: Tamas Perger

minimatch.js

@@ -136,6 +136,8 @@ function Minimatch (pattern, options) {
 
   pattern = pattern.trim()
 
+  pattern = pattern.replace(new RegExp("\\*\\*+", "g"), "**");
+
   // windows support: need to use /, not \
   if (!options.allowWindowsEscape && path.sep !== '/') {
     pattern = pattern.split(path.sep).join('/')

test/patterns.js

@@ -296,22 +296,22 @@ module.exports.regexps = [
   'false',
   '/^(?:(?!\\.)(?=.)[^/]*?\\/(?=.)man[^/]*?\\/(?=.)bash\\.[^/]*?)$/',
   '/^(?:man\\/man1\\/bash\\.1)$/',
-  '/^(?:(?=.)a[^/]*?[^/]*?[^/]*?c)$/',
-  '/^(?:(?=.)a[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]c)$/',
-  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/][^/])$/',
-  '/^(?:(?!\\.)(?=.)[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/][^/])$/',
-  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]c)$/',
-  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/]*?[^/]*?c)$/',
-  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/]*?[^/]*?[^/])$/',
-  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/]*?[^/]*?)$/',
-  '/^(?:(?!\\.)(?=.)[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?c)$/',
-  '/^(?:(?!\\.)(?=.)[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/])$/',
+  '/^(?:(?=.)a[^/]*?[^/]*?c)$/',
+  '/^(?:(?=.)a[^/]*?[^/]*?[^/]c)$/',
+  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/][^/])$/',
+  '/^(?:(?!\\.)(?=.)[^/]*?[^/]*?[^/][^/])$/',
+  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/]c)$/',
+  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/][^/]*?[^/]*?c)$/',
+  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/][^/]*?[^/]*?[^/])$/',
+  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/][^/]*?[^/]*?)$/',
+  '/^(?:(?!\\.)(?=.)[^/]*?[^/]*?c)$/',
+  '/^(?:(?!\\.)(?=.)[^/]*?[^/]*?[^/])$/',
   '/^(?:(?=.)a[^/]*?cd[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/]k)$/',
   '/^(?:(?=.)a[^/]*?[^/]*?[^/][^/]*?[^/]*?cd[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/]k)$/',
-  '/^(?:(?=.)a[^/]*?[^/]*?[^/][^/]*?[^/]*?cd[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/]k[^/]*?[^/]*?[^/]*?)$/',
-  '/^(?:(?=.)a[^/]*?[^/]*?[^/][^/]*?[^/]*?cd[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/][^/]*?[^/]*?[^/]*?k)$/',
-  '/^(?:(?=.)a[^/]*?[^/]*?[^/][^/]*?[^/]*?cd[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/][^/]*?[^/]*?[^/]*?k[^/]*?[^/]*?)$/',
-  '/^(?:(?=.)a[^/]*?[^/]*?[^/]*?[^/]*?c[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/][^/]*?[^/]*?[^/]*?[^/]*?[^/]*?)$/',
+  '/^(?:(?=.)a[^/]*?[^/]*?[^/][^/]*?[^/]*?cd[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/]k[^/]*?[^/]*?)$/',
+  '/^(?:(?=.)a[^/]*?[^/]*?[^/][^/]*?[^/]*?cd[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/][^/]*?[^/]*?k)$/',
+  '/^(?:(?=.)a[^/]*?[^/]*?[^/][^/]*?[^/]*?cd[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/][^/]*?[^/]*?k[^/]*?[^/]*?)$/',
+  '/^(?:(?=.)a[^/]*?[^/]*?c[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/][^/][^/]*?[^/]*?)$/',
   '/^(?:(?!\\.)(?=.)[-abc])$/',
   '/^(?:(?!\\.)(?=.)[abc-])$/',
   '/^(?:\\\\)$/',
@@ -322,12 +322,12 @@ module.exports.regexps = [
   '/^(?:(?!\\.)(?=.)[\\]])$/',
   '/^(?:(?!\\.)(?=.)[\\]-])$/',
   '/^(?:(?!\\.)(?=.)[a-z])$/',
-  '/^(?:(?!\\.)(?=.)[^/][^/][^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/]*?[^/]*?[^/])$/',
-  '/^(?:(?!\\.)(?=.)[^/][^/][^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/]*?[^/]*?c)$/',
-  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?c[^/]*?[^/]*?[^/]*?[^/]*?[^/][^/]*?[^/]*?[^/]*?[^/]*?)$/',
+  '/^(?:(?!\\.)(?=.)[^/][^/][^/]*?[^/]*?[^/][^/]*?[^/]*?[^/])$/',
+  '/^(?:(?!\\.)(?=.)[^/][^/][^/]*?[^/]*?[^/][^/]*?[^/]*?c)$/',
+  '/^(?:(?!\\.)(?=.)[^/][^/]*?[^/]*?c[^/]*?[^/]*?[^/][^/]*?[^/]*?)$/',
   '/^(?:(?!\\.)(?=.)[^/]*?c[^/]*?[^/][^/]*?[^/]*?)$/',
-  '/^(?:(?=.)a[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?c[^/]*?[^/][^/]*?[^/]*?)$/',
-  '/^(?:(?=.)a[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/][^/][^/][^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?[^/]*?)$/',
+  '/^(?:(?=.)a[^/]*?[^/]*?c[^/]*?[^/][^/]*?[^/]*?)$/',
+  '/^(?:(?=.)a[^/]*?[^/]*?[^/][^/][^/][^/]*?[^/]*?)$/',
   '/^(?:\\[\\])$/',
   '/^(?:\\[abc)$/',
   '/^(?:(?=.)XYZ)$/i',

test/redos2.js

@@ -0,0 +1,12 @@
+var t = require('tap')
+
+var minimatch = require('../')
+
+// Fixing https://github.com/isaacs/minimatch/issues/275
+var exploit = '***************X***************************************'
+
+// Valid match, no timeout
+t.ok(minimatch('___________________________________X___', exploit))
+
+// No match, no timeout
+t.notOk(minimatch('___________________________________z___', exploit))