Ruby

CVE-2022-28739: String-to-Float 转换中的缓冲区溢出漏洞

由 mame 于 2022 年 4 月 12 日发布

在从 String 到 Float 的转换算法中发现了一个缓冲区溢出漏洞。此漏洞已被分配 CVE 标识符 CVE-2022-28739。我们强烈建议升级 Ruby。

详情

由于一个内部函数在将字符串转换为浮点数时存在错误，某些转换方法，如 Kernel#Float 和 String#to_f，可能导致缓冲区越读。典型后果是进程因分段错误而终止，但在有限的情况下，可能存在被利用进行非法内存读取的风险。

请将 Ruby 更新至 2.6.10、2.7.6、3.0.4 或 3.1.2 版本。

受影响的版本

  • Ruby 2.6.9 及更早版本
  • Ruby 2.7.5 及更早版本
  • Ruby 3.0.3 及更早版本
  • Ruby 3.1.1 及更早版本

致谢

感谢 piao 发现此问题。

历史

  • 首次发布于 2022-04-12 12:00:00 (UTC)

近期新闻

Ruby 4.0.0 发布

我们很高兴地宣布 Ruby 4.0.0 的发布。Ruby 4.0 引入了“Ruby Box”和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 25 日

Ruby 文档的全新外观

继 ruby-lang.org 重新设计之后，我们还有更多好消息来庆祝 Ruby 成立 30 周年：docs.ruby-lang.org 采用了 Aliki——RDoc 的新默认主题，焕然一新。

由 Stan Lo 发布于 2025 年 12 月 23 日

重新设计我们的网站标识

我们很高兴地宣布对我们的网站进行全面重新设计。此次更新的设计由 Akatsuka Taeko 创作。

由 Hiroshi SHIBATA 发布于 2025 年 12 月 22 日

Ruby 4.0.0 preview3 发布

我们很高兴地宣布 Ruby 4.0.0-preview3 的发布。Ruby 4.0 引入了 Ruby::Box 和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 18 日

更多新闻...