JVNDB-2026-021458

RubyconcurrencyのConcurrent Rubyにおける無限ループに関する脆弱性

concurrent-rubyはRubyのための最新の並行処理ツールです。バージョン1.3.7より前では、Concurrent::AtomicReference#updateは現在の値がFloat::NANの場合に永久にビジーリトライループに入る可能性がありました。この問題は、compare_and_set(old_value, new_value)が成功するまでリトライするAtomicReference#update、元の値と比較してから基礎となるアトミックスワップを試みるNumericのcompare_and_set、およびFloat::NAN == Float::NANが常にfalseとなるRubyのNaNのセマンティクスの相互作用によって引き起こされます。その結果、一度AtomicReferenceがFloat::NANを含むと、#updateを呼び出すたびに呼び出し元のブロックが繰り返し評価されて永遠に戻りません。外部から取得した数値をAtomicReferenceに保存するサービスでは、これによりCPUの枯渇やリクエストやジョブが永久にハングする可能性があります。この脆弱性はバージョン1.3.7で修正されました。

Rubyconcurrency

• Concurrent Ruby 1.3.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : `AtomicReference#update` livelocks when the stored value is `Float::NAN`  Advisory  ruby-concurrency/concurrent-ruby  GitHub

1. 無限ループ(CWE-835) [その他]

1. CVE-2026-54904

1. National Vulnerability Database (NVD) : CVE-2026-54904

• [2026年06月29日]
    掲載