Skip to content

Commit 970689a

Browse files
Gao-JunGao-Jun
authored
Translate CVE-2024-27282, Ruby 3.0.7, 3.1.5, 3.2.4, 3.3.1 (zh_cn) (#3224)
1 parent 6f7bf19 commit 970689a

5 files changed

+241
-0
lines changed

‎zh_cn/news/_posts/2024-04-23-arbitrary-memory-address-read-regexp-cve-2024-27282.md

Lines changed: 41 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,41 @@
1+
---
2+
layout: news_post
3+
title: "CVE-2024-27282: Regex 搜索中的任意地址读取漏洞"
4+
author: "hsbt"
5+
translator: "GAO Jun"
6+
date: 2024-04-23 10:00:00 +0000
7+
tags: security
8+
lang: zh_cn
9+
---
10+
11+
我们发布了 Ruby 3.0.7，3.1.5，3.2.4 和 3.3.1，其中包含了 Regex 搜索中的任意地址读取漏洞的补丁。
12+
此漏洞的 CVE 编号为 [CVE-2024-27282](https://www.cve.org/CVERecord?id=CVE-2024-27282)。
13+
14+
## 详情
15+
16+
在 Ruby 3.x 至 3.3.0 中发现了一个问题。
17+
18+
如果将攻击者提供的特定数据提供给 Ruby 的正则表达式编译器，则可能提取与文本开始相关的任意堆数据，包括指针和敏感字符串。
19+
20+
## 建议操作
21+
22+
我们建议将 Ruby 更新到 3.3.1 或后续版本。为确保与旧版 Ruby 兼容，您可以按照下面的方式进行更新：
23+
24+
* Ruby 3.0：更新至 3.0.7
25+
* Ruby 3.1：更新至 3.1.5
26+
* Ruby 3.2：更新至 3.2.4
27+
28+
## 受影响版本
29+
30+
* Ruby 3.0.6 或更低版本
31+
* Ruby 3.1.4 或更低版本
32+
* Ruby 3.2.3 或更低版本
33+
* Ruby 3.3.0
34+
35+
## 致谢
36+
37+
感谢 [sp2ip](https://hackerone.com/sp2ip?type=user) 发现此问题。
38+
39+
## 历史
40+
41+
* 最初发布于 2024-04-23 10:00:00 (UTC)

‎zh_cn/news/_posts/2024-04-23-ruby-3-0-7-released.md

Lines changed: 53 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,53 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 3.0.7 已发布"
4+
author: "hsbt"
5+
translator: "GAO Jun"
6+
date: 2024-04-23 10:00:00 +0000
7+
lang: zh_cn
8+
---
9+
10+
Ruby 3.0.7 已发布。
11+
12+
此版本包括安全补丁。
13+
请通过以下条目来获取详情。
14+
15+
* [CVE-2024-27282: Regex 搜索中的任意地址读取漏洞]({%link zh_cn/news/_posts/2024-04-23-arbitrary-memory-address-read-regexp-cve-2024-27282.md %})
16+
* [CVE-2024-27281: RDoc 中 .rdoc_options 的 RCE 漏洞](https://www.ruby-lang.org/zh_cn/news/2024/03/21/rce-rdoc-cve-2024-27281/)
17+
* [CVE-2024-27280: StringIO 中的缓存过读漏洞](https://www.ruby-lang.org/zh_cn/news/2024/03/21/buffer-overread-cve-2024-27280/)
18+
19+
您可以通过 [发布说明](https://github.com/ruby/ruby/releases/tag/v3_0_7) 获取进一步信息。
20+
21+
此版本发布后，Ruby 3.0 达到 EOL。也就是说，这应该是 Ruby 3.0 系列的最后一个版本。
22+
即使发现安全漏洞，我们也不会发布 Ruby 3.0.8（但如果发现严重回归问题时，则有可能会发布）。
23+
我们建议所有 Ruby 3.0 用户立即开始迁移到 Ruby 3.3，3.2 或 3.1。
24+
25+
## 下载
26+
27+
{% assign release = site.data.releases | where: "version", "3.0.7" | first %}
28+
29+
* <{{ release.url.gz }}>
30+
31+
文件大小: {{ release.size.gz }}
32+
SHA1: {{ release.sha1.gz }}
33+
SHA256: {{ release.sha256.gz }}
34+
SHA512: {{ release.sha512.gz }}
35+
36+
* <{{ release.url.xz }}>
37+
38+
文件大小: {{ release.size.xz }}
39+
SHA1: {{ release.sha1.xz }}
40+
SHA256: {{ release.sha256.xz }}
41+
SHA512: {{ release.sha512.xz }}
42+
43+
* <{{ release.url.zip }}>
44+
45+
文件大小: {{ release.size.zip }}
46+
SHA1: {{ release.sha1.zip }}
47+
SHA256: {{ release.sha256.zip }}
48+
SHA512: {{ release.sha512.zip }}
49+
50+
## 发布说明
51+
52+
许多提交者、开发人员以及用户提供了问题报告，帮助我们完成了此版本。
53+
感谢他们的贡献。

‎zh_cn/news/_posts/2024-04-23-ruby-3-1-5-released.md

Lines changed: 49 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,49 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 3.1.5 已发布"
4+
author: "hsbt"
5+
translator: "GAO Jun"
6+
date: 2024-04-23 10:00:00 +0000
7+
lang: zh_cn
8+
---
9+
10+
Ruby 3.1.5 已发布。
11+
12+
此版本包括安全补丁。
13+
请通过以下条目来获取详情。
14+
15+
* [CVE-2024-27282: Regex 搜索中的任意地址读取漏洞]({%link zh_cn/news/_posts/2024-04-23-arbitrary-memory-address-read-regexp-cve-2024-27282.md %})
16+
* [CVE-2024-27281: RDoc 中 .rdoc_options 的 RCE 漏洞](https://www.ruby-lang.org/zh_cn/news/2024/03/21/rce-rdoc-cve-2024-27281/)
17+
* [CVE-2024-27280: StringIO 中的缓存过读漏洞](https://www.ruby-lang.org/zh_cn/news/2024/03/21/buffer-overread-cve-2024-27280/)
18+
19+
您可以通过 [发布说明](https://github.com/ruby/ruby/releases/tag/v3_1_5) 获取进一步信息。
20+
21+
## 下载
22+
23+
{% assign release = site.data.releases | where: "version", "3.1.5" | first %}
24+
25+
* <{{ release.url.gz }}>
26+
27+
文件大小: {{ release.size.gz }}
28+
SHA1: {{ release.sha1.gz }}
29+
SHA256: {{ release.sha256.gz }}
30+
SHA512: {{ release.sha512.gz }}
31+
32+
* <{{ release.url.xz }}>
33+
34+
文件大小: {{ release.size.xz }}
35+
SHA1: {{ release.sha1.xz }}
36+
SHA256: {{ release.sha256.xz }}
37+
SHA512: {{ release.sha512.xz }}
38+
39+
* <{{ release.url.zip }}>
40+
41+
文件大小: {{ release.size.zip }}
42+
SHA1: {{ release.sha1.zip }}
43+
SHA256: {{ release.sha256.zip }}
44+
SHA512: {{ release.sha512.zip }}
45+
46+
## 发布说明
47+
48+
许多提交者、开发人员以及用户提供了问题报告，帮助我们完成了此版本。
49+
感谢他们的贡献。

‎zh_cn/news/_posts/2024-04-23-ruby-3-2-4-released.md

Lines changed: 49 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,49 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 3.2.4 已发布"
4+
author: "nagachika"
5+
translator: "GAO Jun"
6+
date: 2024-04-23 10:00:00 +0000
7+
lang: zh_cn
8+
---
9+
10+
Ruby 3.2.4 已发布。
11+
12+
此版本包括安全补丁。
13+
请通过以下条目来获取详情。
14+
15+
* [CVE-2024-27282: Regex 搜索中的任意地址读取漏洞]({%link zh_cn/news/_posts/2024-04-23-arbitrary-memory-address-read-regexp-cve-2024-27282.md %})
16+
* [CVE-2024-27281: RDoc 中 .rdoc_options 的 RCE 漏洞](https://www.ruby-lang.org/zh_cn/news/2024/03/21/rce-rdoc-cve-2024-27281/)
17+
* [CVE-2024-27280: StringIO 中的缓存过读漏洞](https://www.ruby-lang.org/zh_cn/news/2024/03/21/buffer-overread-cve-2024-27280/)
18+
19+
您可以通过 [发布说明](https://github.com/ruby/ruby/releases/tag/v3_2_4) 获取进一步信息。
20+
21+
## 下载
22+
23+
{% assign release = site.data.releases | where: "version", "3.2.4" | first %}
24+
25+
* <{{ release.url.gz }}>
26+
27+
文件大小: {{ release.size.gz }}
28+
SHA1: {{ release.sha1.gz }}
29+
SHA256: {{ release.sha256.gz }}
30+
SHA512: {{ release.sha512.gz }}
31+
32+
* <{{ release.url.xz }}>
33+
34+
文件大小: {{ release.size.xz }}
35+
SHA1: {{ release.sha1.xz }}
36+
SHA256: {{ release.sha256.xz }}
37+
SHA512: {{ release.sha512.xz }}
38+
39+
* <{{ release.url.zip }}>
40+
41+
文件大小: {{ release.size.zip }}
42+
SHA1: {{ release.sha1.zip }}
43+
SHA256: {{ release.sha256.zip }}
44+
SHA512: {{ release.sha512.zip }}
45+
46+
## 发布说明
47+
48+
许多提交者、开发人员以及用户提供了问题报告，帮助我们完成了此版本。
49+
感谢他们的贡献。

‎zh_cn/news/_posts/2024-04-23-ruby-3-3-1-released.md

Lines changed: 49 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,49 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 3.3.1 已发布"
4+
author: "naruse"
5+
translator: "GAO Jun"
6+
date: 2024-04-23 10:00:00 +0000
7+
lang: zh_cn
8+
---
9+
10+
Ruby 3.3.1 已发布。
11+
12+
此版本包括安全补丁。
13+
请通过以下条目来获取详情。
14+
15+
* [CVE-2024-27282: Regex 搜索中的任意地址读取漏洞]({%link zh_cn/news/_posts/2024-04-23-arbitrary-memory-address-read-regexp-cve-2024-27282.md %})
16+
* [CVE-2024-27281: RDoc 中 .rdoc_options 的 RCE 漏洞](https://www.ruby-lang.org/zh_cn/news/2024/03/21/rce-rdoc-cve-2024-27281/)
17+
* [CVE-2024-27280: StringIO 中的缓存过读漏洞](https://www.ruby-lang.org/zh_cn/news/2024/03/21/buffer-overread-cve-2024-27280/)
18+
19+
您可以通过 [发布说明](https://github.com/ruby/ruby/releases/tag/v3_3_1) 获取进一步信息。
20+
21+
## 下载
22+
23+
{% assign release = site.data.releases | where: "version", "3.3.1" | first %}
24+
25+
* <{{ release.url.gz }}>
26+
27+
文件大小: {{ release.size.gz }}
28+
SHA1: {{ release.sha1.gz }}
29+
SHA256: {{ release.sha256.gz }}
30+
SHA512: {{ release.sha512.gz }}
31+
32+
* <{{ release.url.xz }}>
33+
34+
文件大小: {{ release.size.xz }}
35+
SHA1: {{ release.sha1.xz }}
36+
SHA256: {{ release.sha256.xz }}
37+
SHA512: {{ release.sha512.xz }}
38+
39+
* <{{ release.url.zip }}>
40+
41+
文件大小: {{ release.size.zip }}
42+
SHA1: {{ release.sha1.zip }}
43+
SHA256: {{ release.sha256.zip }}
44+
SHA512: {{ release.sha512.zip }}
45+
46+
## 发布说明
47+
48+
许多提交者、开发人员以及用户提供了问题报告，帮助我们完成了此版本。
49+
感谢他们的贡献。

0 commit comments

Comments
 (0)