Er zijn corrigerende releases van de programmeertaal Ruby 3.1.2, 3.0.4, 2.7.6 en 2.6.10 gemaakt, waarin twee kwetsbaarheden zijn verholpen:
- CVE-2022-28738 - Een double-free-fout in de compileercode voor reguliere expressies treedt op bij het doorgeven van een speciaal samengestelde string bij het aanmaken van een Regexp-object. Deze kwetsbaarheid kan worden misbruikt door niet-vertrouwde externe gegevens in een Regexp-object te gebruiken.
- CVE-2022-28739 - Bufferoverloop in code voor string-naar-floating-point conversie. Deze kwetsbaarheid kan potentieel worden misbruikt om toegang te krijgen tot de geheugeninhoud bij het verwerken van niet-vertrouwde externe gegevens in methoden zoals Kernel#Float en String#to_f.
Bron: opennet.ru
