JVNDB-2026-021456

RubyconcurrencyのConcurrent Rubyにおける複数の脆弱性

concurrent-rubyはRuby向けの最新の並行処理ツールです。バージョン1.3.7以前では、Concurrent::ReadWriteLock#release_write_lockが呼び出し元スレッドが書き込みロックを取得しているかどうかを検証しません。ロックオブジェクトにアクセスできる任意のスレッドが、別のスレッドが保持しているアクティブな書き込みロックを解放できます。その結果、最初の書き込みスレッドがまだ動作している間に、2番目の書き込みスレッドがクリティカルセクションに入る可能性があります。Concurrent::ReadWriteLock#release_read_lockも、読み取りロックが保持されていない場合でも共有カウンターを減少させます。この新しいロックでこれを呼び出すと、カウンターが0から-1に変わり、その後の通常の読み取り取得でConcurrent::ResourceLimitErrorが発生します。これは、公開されているConcurrent::ReadWriteLock APIにおける同期の正確性に関する問題です。この脆弱性はバージョン1.3.7で修正されています。

Rubyconcurrency

• Concurrent Ruby 1.3.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ReadWriteLock allows wrong-thread write release and stray read-release counter corruption  Advisory  ruby-concurrency/concurrent-ruby  GitHub

1. ロック確認の欠如(CWE-414) [その他]
2. 不適切なロック(CWE-667) [その他]

1. CVE-2026-54906

1. National Vulnerability Database (NVD) : CVE-2026-54906

• [2026年06月29日]
    掲載