CVE-2024-27282：使用正则表达式搜索的任意内存地址读取漏洞

由 hsbt 于 2024 年 4 月 23 日发布

我们已发布 Ruby 版本 3.0.7、3.1.5、3.2.4 和 3.3.1，其中包含针对正则表达式搜索中任意内存地址读取漏洞的安全修复程序。此漏洞已分配 CVE 标识符 CVE-2024-27282。

详情

在 Ruby 3.x 到 3.3.0 中发现了一个问题。

如果将攻击者提供的数据提供给 Ruby 正则表达式编译器，则可以提取相对于文本开头的任意堆数据，包括指针和敏感字符串。

建议操作

我们建议将 Ruby 更新到 3.3.1 或更高版本。为了确保与旧的 Ruby 系列兼容，您可以按如下方式更新：

  • 对于 Ruby 3.0 用户：更新到 3.0.7
  • 对于 Ruby 3.1 用户：更新到 3.1.5
  • 对于 Ruby 3.2 用户：更新到 3.2.4
  • 对于 Ruby 3.3 用户：更新到 3.3.1

受影响的版本

  • Ruby 3.0.6 或更低版本
  • Ruby 3.1.4 或更低版本
  • Ruby 3.2.3 或更低版本
  • Ruby 3.3.0

鸣谢

感谢 sp2ip 发现此问题。

历史记录

  • 最初发布于 2024-04-23 10:00:00 (UTC)