작성자: mame (2022-04-12)
번역자: shia
String에서 Float로 변환하는 알고리즘에서 버퍼 오버런 취약점이 발견되었습니다. 이 취약점은 CVE 번호 CVE-2022-28739로 등록되었습니다. Ruby를 갱신하는 것을 강력히 권장합니다.
세부 내용
String에서 Float로 변환하는 내부 함수의 버그로 인해, Kernel#Float와 Sting#to_f 등의 몇몇 메서드가 버퍼를 과도하게 읽어 들일 수 있습니다.
일반적으로는 세그먼트 폴트가 발생해 프로세스가 종료됩니다만, 제한된 환경에서 범위 밖의 메모리를 읽기 위해 악용될 수 있습니다.
Ruby를 2.6.10, 2.7.6, 3.0.4, 3.1.2로 갱신해 주세요.
해당 버전
- Ruby 2.6.9 이하
- Ruby 2.7.5 이하
- Ruby 3.0.3 이하
- Ruby 3.1.1 이하
도움을 준 사람
이 문제를 발견해 준 piao에게 감사를 표합니다.
수정 이력
- 2022-04-12 12:00:00 (UTC) 최초 공개