Base de CVEs

concurrent-ruby é uma ferramenta moderna de concorrência para Ruby. Antes da versão 1.3.7, Concurrent::ReadWriteLock#release_write_lock não verifica se a thread que chama adquiriu o bloqueio de escrita. Qualquer thread com acesso ao objeto de bloqueio pode liberar um bloqueio de escrita ativo mantido por outra thread. Um segundo escritor pode então entrar em sua seção crítica enquanto o primeiro escritor ainda está em execução. Concurrent::ReadWriteLock#release_read_lock também decrementa o contador compartilhado mesmo quando nenhum bloqueio de leitura é mantido. Chamá-lo em um bloqueio novo altera o contador de 0 para -1, após o que a aquisição normal de leitura lança Concurrent::ResourceLimitError. Esta é uma questão de correção de sincronização na API pública Concurrent::ReadWriteLock. Esta vulnerabilidade está corrigida na versão 1.3.7.