CVE-2022-28738: Regexp 编译中的双重释放（double free）
由 mame 发表于 2022-04-12
翻译： GAO Jun
Regexp 编译中发现了一个双重释放（double free）漏洞。 此漏洞已分配 CVE 编号 CVE-2022-28738. 我们强烈建议更新 Ruby。
详情
由于 Regexp 编译过程中的错误，使用特定制作的源字符串创建 Regexp 对象可能会导致同一内存被释放两次。这被称为“双重释放”漏洞。 请注意，一般来说，通过不可信输入来创建和使用 Regexp 是不安全的。然而，在此情况下，经过全面评估，我们将此问题是为一个漏洞。
请更新 Ruby 至 3.0.4 或 3.1.2。
受影响版本
- ruby 3.0.3 及更早版本
- ruby 3.1.1 及更早版本
请注意 ruby 2.6 系列和 2.7 系列不受影响。
致谢
感谢 piao 发现此问题。
历史
- 最早发布于 2022-04-12 12:00:00 (UTC)
最新消息
Ruby 4.0.0 已发布
我们很高兴地宣布 Ruby 4.0.0 已发布。 Ruby 4.0 引入了 Ruby::Box 和 “ZJIT”，以及若干改进。
由 naruse 发表于 2025-12-25
全新的 Ruby 文档界面
继 重新设计 ruby-lang.org之后， 我们还有更多消息来庆祝 Ruby 诞生 30 周年：docs.ruby-lang.org 采用了全新的、RDoc 的 Aliki 默认主题。
由 Stan Lo 发表于 2025-12-23
重新设计我们的网站标识
我们激动地宣布网站已经全面改版。此次更新的设计方案由 Taeko Akatsuka (赤塚妙子) 创作。
由 Hiroshi SHIBATA 发表于 2025-12-22
Ruby 4.0.0 preview3 已发布
我们很高兴地宣布 Ruby 4.0.0-preview3 已发布。 Ruby 4.0 引入了 Ruby::Box 和 “ZJIT”，以及若干改进。
由 naruse 发表于 2025-12-18