Sono stati rilasciati aggiornamenti correttivi per il linguaggio di programmazione Ruby 3.1.2, 3.0.4, 2.7.6, 2.6.10, nei quali sono state risolte due vulnerabilità:
- CVE-2022-28738 — doppia liberazione della memoria (double-free) nel codice di compilazione delle espressioni regolari, che si verifica quando viene passata una stringa appositamente formattata durante la creazione di un oggetto Regexp. La vulnerabilità può essere sfruttata quando si utilizzano dati esterni non verificati nell'oggetto Regexp.
- CVE-2022-28739 — overflow del buffer nel codice di conversione da stringa a numero in virgola mobile. Potenzialmente, la vulnerabilità può essere sfruttata per accedere al contenuto della memoria durante l'elaborazione di dati esterni non verificati in metodi come Kernel#Float e String#to_f.
Fonte: opennet.ru
