RubyconcurrencyのConcurrent Rubyにおける複数の脆弱性
| Title |
RubyconcurrencyのConcurrent Rubyにおける複数の脆弱性
|
| Summary |
concurrent-rubyはRuby向けの最新の並行処理ツールです。バージョン1.3.7以前では、Concurrent::ReadWriteLock#release_write_lockが呼び出し元スレッドが書き込みロックを取得しているかどうかを検証しません。ロックオブジェクトにアクセスできる任意のスレッドが、別のスレッドが保持しているアクティブな書き込みロックを解放できます。その結果、最初の書き込みスレッドがまだ動作している間に、2番目の書き込みスレッドがクリティカルセクションに入る可能性があります。Concurrent::ReadWriteLock#release_read_lockも、読み取りロックが保持されていない場合でも共有カウンターを減少させます。この新しいロックでこれを呼び出すと、カウンターが0から-1に変わり、その後の通常の読み取り取得でConcurrent::ResourceLimitErrorが発生します。これは、公開されているConcurrent::ReadWriteLock APIにおける同期の正確性に関する問題です。この脆弱性はバージョン1.3.7で修正されています。
|
| Possible impacts |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 24, 2026, midnight |
| Registration Date |
June 29, 2026, 11:23 a.m. |
| Last Update |
June 29, 2026, 11:23 a.m. |
|
CVSS3.0 : 緊急
|
| Score |
9.8
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Affected System
| Rubyconcurrency |
|
Concurrent Ruby 1.3.7 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月29日]
掲載 |
June 29, 2026, 11:23 a.m. |
NVD Vulnerability Information
CVE-2026-54906
| Summary |
concurrent-ruby is a modern concurrency tools for Ruby. Prior to 1.3.7, Concurrent::ReadWriteLock#release_write_lock does not verify that the calling thread acquired the write lock. Any thread with access to the lock object can release an active write lock held by another thread. A second writer can then enter its critical section while the first writer is still running. Concurrent::ReadWriteLock#release_read_lock also decrements the shared counter even when no read lock is held. Calling it on a fresh lock changes the counter from 0 to -1, after which normal read acquisition raises Concurrent::ResourceLimitError. This is a synchronization correctness issue in the public Concurrent::ReadWriteLock API. This vulnerability is fixed in 1.3.7.
|
| Publication Date |
June 25, 2026, 2:17 a.m. |
| Registration Date |
June 27, 2026, 4:22 a.m. |
| Last Update |
June 27, 2026, 5 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:rubyconcurrency:concurrent_ruby:*:*:*:*:*:ruby:*:* |
|
|
|
1.3.7 |
Related information, measures and tools
Common Vulnerabilities List