NumberUtil.toBigDecimal方法报StackOverflowError

[PoppingSnack]

版本情况

JDK版本： openjdk_8_201
hutool-core： 5.8.23（请确保最新尝试是否还有问题）

问题描述（包括截图）

在hutool-core的5.8.23版本中，调用NumberUtil.toBigDecimal方法时，如果入参为“NaN”，程序会崩溃，报StackOverflowError

1. 复现代码

import org.junit.Test;
import cn.hutool.core.util.*;
import java.math.BigDecimal;
public class NumberUtilFuzzerToBigDecimal {
    @Test
    public void toBigDecimalFuzzerTest() {
        try {
            BigDecimal result = NumberUtil.toBigDecimal("NaN");
        } catch (Exception e) {
        }
    }
}

2. 堆栈信息

java.lang.StackOverflowError
	at java.base/sun.util.locale.provider.LocaleResources.getDecimalFormatSymbolsData(LocaleResources.java:172)
	at java.base/java.text.DecimalFormatSymbols.initialize(DecimalFormatSymbols.java:628)
	at java.base/java.text.DecimalFormatSymbols.<init>(DecimalFormatSymbols.java:113)
	at java.base/sun.util.locale.provider.DecimalFormatSymbolsProviderImpl.getInstance(DecimalFormatSymbolsProviderImpl.java:85)
	at java.base/java.text.DecimalFormatSymbols.getInstance(DecimalFormatSymbols.java:180)
	at java.base/sun.util.locale.provider.NumberFormatProviderImpl.getInstance(NumberFormatProviderImpl.java:183)
	at java.base/sun.util.locale.provider.NumberFormatProviderImpl.getNumberInstance(NumberFormatProviderImpl.java:149)
	at java.base/java.text.NumberFormat.getInstance(NumberFormat.java:921)
	at java.base/java.text.NumberFormat.getInstance(NumberFormat.java:907)
	at java.base/java.text.NumberFormat.getInstance(NumberFormat.java:475)
	at cn.hutool.core.util.NumberUtil.parseNumber(NumberUtil.java:2686)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2227)
	at cn.hutool.core.util.NumberUtil.toBigDecimal(NumberUtil.java:2250)
        ...

[looly]

@PoppingSnack 升级到5.8.23，经过测试新版本没有这个问题。

[looly]

@PoppingSnack sorry，是我测试不充分的问题。

此问题在JDK8下没有复现，JDK17下复现了，下面分析原因。

首先问题在于NumberFormat在两个版本的JDK的差异，我们使用以下代码测试：

final NumberFormat format = NumberFormat.getInstance();
((DecimalFormat) format).setParseBigDecimal(true);
final Number naN = format.parse("NaN");
Console.log(naN.getClass());

在JDK8下：

但是在JDK17下：

返回的竟然是个Double！！！，而且值为Double.NaN。

个人认为这是JDK的bug，毕竟我设置了((DecimalFormat) format).setParseBigDecimal(true);

不过因为这个问题，导致了StackOverflowError问题，一直没有测试完全，在此给大家道歉。

---

此问题会在
5.8.25和6.0.0-M10中修复。

关联CVE：CVE-2023-51080

修复方式为在parseNumber时增加NaN检查：

Assert.isTrue(isValidNumber(number), "Number is invalid!");