由 mame 发布于 2022 年 4 月 12 日
在正则表达式编译中发现了一个双重释放漏洞。此漏洞已分配 CVE 标识符 CVE-2022-28738。我们强烈建议升级 Ruby。
详情
由于正则表达式编译过程中的一个错误，使用精心构造的源字符串创建 Regexp 对象可能会导致同一内存被释放两次。这被称为“双重释放”漏洞。请注意，通常情况下，从不受信任的输入生成和使用 Regexp 对象被认为是不安全的。然而，经过全面的评估，我们将此问题视为一个漏洞。
请将 Ruby 更新到 3.0.4 或 3.1.2。
受影响的版本
- ruby 3.0.3 或更早版本
- ruby 3.1.1 或更早版本
请注意，ruby 2.6 系列和 2.7 系列不受影响。
鸣谢
感谢 piao 发现了这个问题。
历史
- 最初发布于 2022-04-12 12:00:00 (UTC)