Foram lançadas correções para as versões da linguagem de programação Ruby 3.1.2, 3.0.4, 2.7.6, 2.6.10, que eliminaram duas vulnerabilidades:
- CVE-2022-28738 — liberação dupla de memória (double-free) no código de compilação de expressões regulares, que ocorre ao passar uma string especialmente formatada na criação de um objeto Regexp. A vulnerabilidade pode ser explorada ao usar dados externos não validados em um objeto Regexp.
- CVE-2022-28739 — estouro de buffer no código de conversão de string para número de ponto flutuante. A vulnerabilidade pode ser potencialmente explorada para obter acesso ao conteúdo da memória ao processar dados externos não validados em métodos como Kernel#Float e String#to_f.
Fonte: opennet.ru
