Publicado por hsbt el 2024-04-23
Traducción de vtamara
Hemos publicado las versiones 3.0.7, 3.1.5, 3.2.4 y 3.3.1 que incluyen una corrección de seguridad para una vulnerabilidad de lectura de direcciones de memoria arbitrarias en la búsqueda Regex. A esta vulnerabilidad se le ha asignado el identificador CVE CVE-2024-27282.
Detalles
Se ha descubierto un problema en Ruby 3.x incluyendo 3.3.0.
Si se suministran datos preparados por un atacante al compilador de Regex de Ruby, es posible extraer datos del heap relacionados con el comienzo del texto, incluyendo apuntadores a cadenas sensitivas.
Acción recomendada
Recomendamos actualizar a la versión de Ruby 3.3.1 o posterior. Para asegurar compatibilidad con series anteriores de Ruby, en lugar de eso, puede actualizar como se indica a continuación:
- Para usuarios de Ruby 3.0: Actualizar a 3.0.7
- Para usuarios de Ruby 3.1: Actualizar a 3.1.5
- Para usuarios de Ruby 3.2: Actualizar a 3.2.4
Versiones afectadas
- Ruby 3.0.6 y anteriores
- Ruby 3.1.4 y anteriores
- Ruby 3.2.3 y anteriores
- Ruby 3.3.0
Creditos
Agradecmoes a sp2ip por descubrir este problema.
Historia
- Publicado originalmente el 2024-04-23 10:00:00 (UTC)