CVE-2022-28739: String에서 Float로 변환할 때의 버퍼 오버런

작성자: mame (2022-04-12)
번역자: shia

String에서 Float로 변환하는 알고리즘에서 버퍼 오버런 취약점이 발견되었습니다. 이 취약점은 CVE 번호 CVE-2022-28739로 등록되었습니다. Ruby를 갱신하는 것을 강력히 권장합니다.

세부 내용

String에서 Float로 변환하는 내부 함수의 버그로 인해, Kernel#Float와 Sting#to_f 등의 몇몇 메서드가 버퍼를 과도하게 읽어 들일 수 있습니다. 일반적으로는 세그먼트 폴트가 발생해 프로세스가 종료됩니다만, 제한된 환경에서 범위 밖의 메모리를 읽기 위해 악용될 수 있습니다.

Ruby를 2.6.10, 2.7.6, 3.0.4, 3.1.2로 갱신해 주세요.

해당 버전

• Ruby 2.6.9 이하
• Ruby 2.7.5 이하
• Ruby 3.0.3 이하
• Ruby 3.1.1 이하

도움을 준 사람

이 문제를 발견해 준 piao에게 감사를 표합니다.

수정 이력

• 2022-04-12 12:00:00 (UTC) 최초 공개