Korrektiewe vrystellings van Ruby 3.3.13, 3.4.12 en 4.0.9 is gepubliseer, wat 'n kritieke kwesbaarheid (CVE-2026-110264) regstel wat lei tot 'n heelgetal-oorloop wanneer spesiaal vervaardigde gereelde uitdrukkings saamgestel word. Hierdie kwesbaarheid kan gebruik word om projekte aan te val wat in Ruby geskryf is en eksterne data in gereelde uitdrukkings gebruik. Onder andere is die uitbuiting van die kwesbaarheid vir die uitvoering van afstandkode in die GitLab-samewerkende ontwikkelingsplatform bevestig. Die probleem is verder geblokkeer in GitLab-opdaterings 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 en 18.11.13. Die kwesbaarheid is 'n ernstigheidsvlak van 10 uit 10 toegeken.
'n Kwetsbaarheid bestaan in Onigmo se gereelde uitdrukkingsenjin en veroorsaak 'n interne identifiseerder-oorloop wanneer 'n patroon met 'n groot aantal herhalings saamgestel word. Die probleem manifesteer slegs in toepassings wat eksterne data gebruik in gereelde uitdrukkings wat verwerk word via die Regexp.new, Regexp.union, en Regexp.compile metodes, of letterlikes van die vorm "/#{input}/." Die beperking van die gereelde uitdrukkingsgrootte of die verwerkingstyd daarvan via die Regexp.timeout metode voorkom nie die kwesbaarheid nie, aangesien kort patrone vir die aanval gebruik kan word.
In GitLab kan 'n kwesbaarheid deur 'n ongeverifieerde gebruiker uitgebuit word deur eksterne data in 'n gereelde uitdrukking te vervang. Besonderhede van die uitbuitingsmetode is nog nie bekend gemaak nie (volgens GitLab se beleid word inligting 30 dae nadat die opdatering gepubliseer is, beskikbaar), maar pogings om GitLab-gebruikers aan te val, is reeds aanlyn aangeteken. Indirekte tekens van 'n aanval sluit in 'n toename in die aantal Ruby-interpreter-ineenstortings en 'n toename in logfoute wat verband hou met bladsylewering-tyd-uitslae wanneer .org-lêers verwerk word.
Benewens CVE-2026-110264, is nog drie kwesbaarhede in die gewone uitdrukkingsenjin reggestel: CVE-2026-89078 (dubbele geheuevrystelling wanneer 'n patroon nie ontleed kan word nadat dit gewysig is nie), CVE-2026-93577, en CVE-2026-97229 (heelgetal-oorloop wanneer die grootte van 'n saamgestelde patroon bereken word).
Bron: opennet.ru
