PT-2024-2478 · Ruby+9 · Stringio+9
David_H1
·
Publicado
2024-03-19
·
Atualizado
2025-09-29
·
CVE-2024-27280
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Ruby StringIO, versões 3.0.1 a 3.0.6
Ruby StringIO, versões 3.1.x a 3.1.4
Descrição
Foi descoberta uma falha de leitura excessiva do buffer no StringIO, na qual os métodos
ungetbyte e ungetc podem ler além do fim de uma string, e uma chamada subsequente a StringIO.gets pode retornar o valor da memória. Esta falha está relacionada a uma vulnerabilidade de vazamento de dados.Recomendações
Para usuários do Ruby 3.0, atualize para
stringio 3.0.1.1Para usuários do Ruby 3.1, atualize para
stringio 3.1.0.2Atualize a gem StringIO para a versão 3.0.3 ou posterior
Use
gem update stringio para atualizá-la. Se você estiver usando o bundler, adicione gem “stringio”, “>= 3.0.1.2” ao seu Gemfile.Exploit
Correção
DoS
Buffer Over-read
Buffer Overflow
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Almalinux
Astra Linux
Centos
Linuxmint
Apple Macos
Red Hat
Red Os
Rocky Linux
Stringio
Ubuntu