CVE-2023-28756: Lỗ hổng ReDoS trong Time

Đăng bởi hsbt vào 30 Mar 2023

Chúng tôi đã phát hành gem time phiên bản 0.1.1 và 0.2.2 với bản vá bảo mật cho lỗ hổng ReDoS. Lỗ hổng này đã được gán mã CVE CVE-2023-28756.

Chi tiết

Trình phân tích Time xử lý không đúng các chuỗi không hợp lệ có các ký tự cụ thể. Điều này gây ra sự gia tăng thời gian thực thi khi phân tích chuỗi thành đối tượng Time.

Một vấn đề ReDoS đã được phát hiện trong gem Time 0.1.0 và 0.2.1 và thư viện Time của Ruby 2.7.7.

Hành động khuyến nghị

Chúng tôi khuyến nghị cập nhật gem time lên phiên bản 0.2.2 hoặc mới hơn. Để đảm bảo tương thích với phiên bản đi kèm trong các dòng Ruby cũ hơn, bạn có thể cập nhật như sau:

• Với người dùng Ruby 3.0: Cập nhật lên time 0.1.1
• Với người dùng Ruby 3.1/3.2: Cập nhật lên time 0.2.2

Bạn có thể sử dụng gem update time để cập nhật. Nếu bạn đang sử dụng bundler, vui lòng thêm gem "time", ">= 0.2.2" vào Gemfile của bạn.

Tiếc rằng gem time chỉ hoạt động với Ruby 3.0 trở lên. Nếu bạn đang sử dụng Ruby 2.7, vui lòng sử dụng phiên bản Ruby mới nhất.

Các phiên bản bị ảnh hưởng

• Ruby 2.7.7 trở về trước
• gem time 0.1.0
• gem time 0.2.1

Ghi công

Cảm ơn ooooooo_q đã phát hiện vấn đề này.

Lịch sử

• Công bố lần đầu vào 2023-03-30 11:00:00 (UTC)