注目★★★★★GitHub Advisory
Oj gem: Use-After-Free脆弱性 CVE-2026-54901 (v3.17.1以下)
30秒で把握
- 1CVE-2026-54901: oj gem全バージョンでUse-After-Free・セグフォルト発生
- 2array_class/hash_class がGCマーク対象外でダングリング参照が生じる
- 3v3.17.1で確認済み・修正済みバージョンへの更新が必要
要約
Ruby用JSONライブラリ「oj gem」にUse-After-Free脆弱性CVE-2026-54901が確認された。`Oj::Parser`の通常モードで`array_class`/`hash_class`がGCマーク対象外となり、パース前にGCが実行されるとダングリングポインタが生じてセグフォルトが発生する。影響バージョンは`usual.c`/`parser.c`を含む全バージョンで、v3.17.1での発生が確認済み。
あなたへの影響
oj gemをRailsアプリやJSONパース処理で利用しているチームは、v3.17.1以下が対象のため修正済みバージョンへの更新を次のリリースサイクルで実施する必要がある。
推奨：GC介入タイミング依存のため再現頻度は低いが、長時間稼働のプロセスや高負荷環境では顕在化するリスクがあり得る。