CVE-2017-9527
WysokieStreszczenie
Funkcja mark_context_stack w pliku gc.c w mruby do wersji 1.2.0 umożliwia atakującym spowodowanie odmowy usługi (wykorzystanie pamięci po zwolnieniu i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego pliku .rb.
Ocena ryzyka
Organizacje mogą doświadczyć przestojów w działaniu aplikacji oraz potencjalnych strat danych w wyniku ataków wykorzystujących tę podatność.
Rekomendacja
Zaleca się aktualizację mruby do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w mruby
Zobacz wszystkie- CVE-2026-79590Średnie
W komponencie parsera Prism w mruby 4.0.0 występuje podatność polegająca na dereferencji wskaźnika NULL. Atakujący może dostarczyć specjalnie spreparowany plik źródłowy Ruby, który spowoduje przekazanie wskaźnika NULL do funkcji obsługi ciągów znaków, co prowadzi do niezdefiniowanego zachowania i awarii aplikacji.
- CVE-2022-4996Średnie
W mruby 3.1.0 odkryto błąd w funkcji udiv pliku bigint.c. Wykonanie manipulacji prowadzi do porównania liczb zmiennoprzecinkowych z nieprawidłowym operatorem. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-13120Średnie
W mruby do wersji 3.4.0 funkcja sort_cmp w pliku src/array.c zawiera błąd use-after-free, który może być wykorzystany lokalnie. Exploit został publicznie ujawniony.
- CVE-2025-12875Średnie
W mruby 3.4.0 wykryto słabość w funkcji ary_fill_exec w pliku mrbgems/mruby-array-ext/src/array.c. Manipulacja argumentami start/length może prowadzić do zapisu poza granicami bufora. Atak wymaga lokalnego dostępu, a exploit jest publicznie dostępny; poprawka to commit 93619f06dd378db6766666b30c08978311c7ec94.
Oryginalny opis (angielski, źródło NVD)
The mark_context_stack function in gc.c in mruby through 1.2.0 allows attackers to cause a denial of service (heap-based use-after-free and application crash) or possibly have unspecified other impact via a crafted .rb file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS