CVE-2024-27282: Lỗ hổng đọc địa chỉ bộ nhớ tùy ý qua tìm kiếm Regex

Đăng bởi hsbt vào 23 Apr 2024

Chúng tôi đã phát hành Ruby phiên bản 3.0.7, 3.1.5, 3.2.4 và 3.3.1 bao gồm bản vá bảo mật cho lỗ hổng đọc địa chỉ bộ nhớ tùy ý trong tìm kiếm Regex. Lỗ hổng này được gán mã định danh CVE CVE-2024-27282.

Chi tiết

Một vấn đề đã được phát hiện trong Ruby 3.x đến 3.3.0.

Nếu dữ liệu do kẻ tấn công cung cấp được đưa vào trình biên dịch regex của Ruby, có thể trích xuất dữ liệu heap tùy ý tương đối với vị trí bắt đầu của văn bản, bao gồm con trỏ và chuỗi nhạy cảm.

Hành động khuyến nghị

Chúng tôi khuyến nghị cập nhật Ruby lên phiên bản 3.3.1 hoặc mới hơn. Để đảm bảo tương thích với các dòng Ruby cũ hơn, bạn có thể cập nhật như sau:

• Người dùng Ruby 3.0: Cập nhật lên 3.0.7
• Người dùng Ruby 3.1: Cập nhật lên 3.1.5
• Người dùng Ruby 3.2: Cập nhật lên 3.2.4
• Người dùng Ruby 3.3: Cập nhật lên 3.3.1

Phiên bản bị ảnh hưởng

• Ruby 3.0.6 trở xuống
• Ruby 3.1.4 trở xuống
• Ruby 3.2.3 trở xuống
• Ruby 3.3.0

Ghi nhận

Cảm ơn sp2ip đã phát hiện vấn đề này.

Lịch sử

• Công bố lần đầu vào 2024-04-23 10:00:00 (UTC)