Sono state rilasciate le versioni correttive del linguaggio di programmazione Ruby 3.1.2, 3.0.4, 2.7.6, 2.6.10, che risolvono due vulnerabilità:
- CVE-2022-28738 — doppio rilascio di memoria (double-free) nel codice di compilazione delle espressioni regolari, che si verifica quando viene passato un oggetto stringa appositamente formattato durante la creazione di un oggetto Regexp. La vulnerabilità può essere sfruttata utilizzando dati esterni non verificati nell'oggetto Regexp.
- CVE-2022-28739 — overflow del buffer nel codice di conversione da stringa a numero in virgola mobile. Potenzialmente, la vulnerabilità può essere sfruttata per accedere al contenuto della memoria durante l'elaborazione di dati esterni non verificati in metodi come Kernel#Float e String#to_f.
Fonte: opennet.ru
