CVE-2024-27282: Schwachstelle zum Lesen beliebiger Speicheradressen mit Regex-Suche

Gepostet von hsbt am 23 Apr 2024

Wir haben die Ruby-Versionen 3.0.7, 3.1.5, 3.2.4 und 3.3.1 veröffentlicht, die eine Sicherheitskorrektur für eine Schwachstelle zum Lesen beliebiger Speicheradressen bei der Regex-Suche enthalten. Diese Schwachstelle hat die CVE-ID CVE-2024-27282 erhalten.

Details

Ein Problem wurde in Ruby 3.x bis 3.3.0 entdeckt.

Wenn Angreifer-gelieferte Daten an den Ruby Regex Compiler übergeben werden, ist es möglich, beliebige Heap-Daten relativ zum Anfang des Textes zu extrahieren, einschließlich Zeigern und sensibler Zeichenketten.

Empfohlene Maßnahmen

Wir empfehlen, Ruby auf Version 3.3.1 oder neuer zu aktualisieren. Um die Kompatibilität mit älteren Ruby-Serien zu gewährleisten, können Sie stattdessen wie folgt aktualisieren:

• Für Ruby 3.0 Benutzer: Aktualisieren Sie auf 3.0.7
• Für Ruby 3.1 Benutzer: Aktualisieren Sie auf 3.1.5
• Für Ruby 3.2 Benutzer: Aktualisieren Sie auf 3.2.4
• Für Ruby 3.3 Benutzer: Aktualisieren Sie auf 3.3.1

Betroffene Versionen

• Ruby 3.0.6 oder niedriger
• Ruby 3.1.4 oder niedriger
• Ruby 3.2.3 oder niedriger
• Ruby 3.3.0

Credits

Vielen Dank an sp2ip für die Entdeckung dieses Problems.

Verlauf

• Ursprünglich veröffentlicht am 2024-04-23 10:00:00 (UTC)