የሩቢ 3.3.13፣ 3.4.12 እና 4.0.9 የማስተካከያ ልቀቶች ታትመዋል፣ ይህም በተለይ የተነደፉ መደበኛ አገላለጾችን ሲያጠናቅቁ ወደ ኢንቲጀር ፍሰት የሚያመራ ወሳኝ ተጋላጭነትን (CVE-2026-110264) አስተካክሏል። ይህ ተጋላጭነት በመደበኛ አገላለጾች ውስጥ ውጫዊ ውሂብን የሚጠቀሙ በሩቢ የተጻፉ ፕሮጀክቶችን ለማጥቃት ሊያገለግል ይችላል። ከሌሎች ነገሮች በተጨማሪ፣ በGitLab የትብብር ልማት መድረክ ውስጥ ለርቀት ኮድ አፈፃፀም ተጋላጭነትን መጠቀም ተረጋግጧል። ችግሩ በGitLab ዝመናዎች 19.5.1፣ 19.4.3፣ 19.3.6፣ 19.2.9፣ 19.1.9፣ 19.0.10 እና 18.11.13 ላይ የበለጠ ታግዷል። ተጋላጭነቱ ከ10 10 የክብደት ደረጃ ተመድቧል።
በኦኒግሞ መደበኛ የአገላለጽ ሞተር ውስጥ ተጋላጭነት አለ እና ብዙ ድግግሞሽ ያለው ንድፍ ሲያጠናቅቅ ውስጣዊ መለያ እንዲፈስ ያደርጋል። ችግሩ የሚገለጠው በ Regexp.new፣ Regexp.union እና Regexp.compile ዘዴዎች ወይም በ"/#{input}/"ቅርጽ ላይ ባሉ ቀጥተኛ አገላለጾች ውስጥ ውጫዊ ውሂብን በሚጠቀሙ አፕሊኬሽኖች ላይ ብቻ ነው። መደበኛውን የአገላለጽ መጠን ወይም የማስኬጃ ጊዜውን በ Regexp.timeout ዘዴ መገደብ ተጋላጭነቱን አይከላከልም፣ ምክንያቱም አጫጭር ቅጦች ለጥቃቱ ጥቅም ላይ ሊውሉ ይችላሉ።
በGitLab ውስጥ፣ ውጫዊ መረጃን ወደ መደበኛ አገላለጽ በመተካት አንድ ተጋላጭነት ባልተረጋገጠ ተጠቃሚ ሊበዘበዝ ይችላል። የብዝበዛ ዘዴው ዝርዝሮች እስካሁን አልተገለጹም (በGitLab ፖሊሲ መሠረት፣ መረጃው ከታተመ ከ30 ቀናት በኋላ ይገኛል)፣ ነገር ግን የGitLab ተጠቃሚዎችን ለማጥቃት የሚደረጉ ሙከራዎች በመስመር ላይ ተመዝግበዋል። የጥቃት ቀጥተኛ ያልሆኑ ምልክቶች የRuby ተርጓሚ ብልሽቶች ቁጥር መጨመር እና .org ፋይሎችን ሲያስኬዱ ከገጽ አወጣጥ የጊዜ ማብቂያዎች ጋር የተያያዙ የምዝግብ ማስታወሻ ስህተቶች መጨመርን ያካትታሉ።
ከCVE-2026-110264 በተጨማሪ፣ በመደበኛው አገላለጽ ሞተር ውስጥ ሶስት ተጨማሪ ተጋላጭነቶች ተስተካክለዋል፡ CVE-2026-89078 (አንድ ንድፍ ከተሻሻለ በኋላ መተንተን በማይቻልበት ጊዜ ከእጥፍ ነፃ የሆነ ማህደረ ትውስታ)፣ CVE-2026-93577 እና CVE-2026-97229 (የተጠናቀረ ንድፍ መጠን ሲሰላ ኢንቲጀር ይሞላዋል)።
ምንጭ: opennet.ru
