由 usa 發表於 2017-09-14
翻譯： Vincent Lin
Kernel 模組的 sprintf 方法有緩衝區掏空的安全性風險。
此風險的 CVE 識別號已被指派為 CVE-2017-0898。
詳細
如果傳入含有特殊格式字符（*）的惡意字串，且同時傳入一個巨大負數給這個字符的話，可能會觸發緩衝區掏空。
在此情況下，結果可能會包含堆積，或是 Ruby 直譯器會崩潰。
所有正在使用受影響版本的使用者應立即升級。
受影響版本
- Ruby 2.2 系列: 2.2.7 以及之前的版本
- Ruby 2.3 系列: 2.3.4 以及之前的版本
- Ruby 2.4 系列: 2.4.1 以及之前的版本
- trunk revision 58453 之前的版本
致謝
感謝 aerodudrizzt 回報此問題。
歷史
- 初次發佈於 2017-09-14 12:00:00 (UTC)