由 mame 发表于 2022-04-12
翻译： GAO Jun
Regexp 编译中发现了一个双重释放（double free）漏洞。 此漏洞已分配 CVE 编号 CVE-2022-28738. 我们强烈建议更新 Ruby。
详情
由于 Regexp 编译过程中的错误，使用特定制作的源字符串创建 Regexp 对象可能会导致同一内存被释放两次。这被称为“双重释放”漏洞。 请注意，一般来说，通过不可信输入来创建和使用 Regexp 是不安全的。然而，在此情况下，经过全面评估，我们将此问题是为一个漏洞。
请更新 Ruby 至 3.0.4 或 3.1.2。
受影响版本
- ruby 3.0.3 及更早版本
- ruby 3.1.1 及更早版本
请注意 ruby 2.6 系列和 2.7 系列不受影响。
致谢
感谢 piao 发现此问题。
历史
- 最早发布于 2022-04-12 12:00:00 (UTC)