Апублікаваны карэкціруючыя выпускі мовы праграмавання Ruby 3.3.13, 3.4.12 і 4.0.9, у якіх ухіленая крытычная ўразлівасць (CVE-2026-110264), якая прыводзіць да цэлалікавага перапаўнення пры кампіляцыі адмыслова аформленых рэгулярных выразаў. Уразлівасць можа выкарыстоўвацца для нападу на праекты, напісаныя на мове Ruby і выкарыстоўвалыя вонкавыя дадзеныя ў рэгулярных выразах. Сярод іншага, пацверджана магчымасць эксплуатацыі ўразлівасці для выдаленага выканання кода ў платформе сумеснай распрацоўкі GitLab. Праблема дадаткова блакіравана ў абнаўленнях GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 і 18.11.13. Уразлівасці прысвоены ўзровень небяспекі 10 з 10.
Уразлівасць прысутнічае ў рухавічку рэгулярных выразаў Onigmo і прыводзіць да перапаўнення ўнутраных ідэнтыфікатараў пры кампіляцыі шаблону з вялікім лікам паўтораў. Праблема выяўляецца толькі ў прыкладаннях, якія выкарыстоўваюць вонкавыя дадзеныя ў рэгулярных выразах, апрацоўваных праз метады Regexp.new, Regexp.union і Regexp.compile ці літаралы выгляду "/#{input}/". Абмежаванне памеру рэгулярнага выразы ці чакай яго апрацоўкі праз метад Regexp.timeout не блакуе ўразлівасць, бо для нападу могуць выкарыстоўвацца кароткія шаблоны.
У GitLab уразлівасць можа быць эксплуатаваная неаўтэнтыфікаваным карыстачом з-за падстаноўкі ў рэгулярны выраз вонкавых дадзеных. Дэталі метаду эксплуатацыі пакуль не раскрываюцца (па правілах GitLab інфармацыя становіцца даступная праз 30 дзён пасля публікацыі выпраўлення), пры гэтым у сетцы ўжо фіксуюцца спробы ажыццяўлення нападаў на карыстачоў GitLab. Ускоснымі прыкметамі ажыццяўлення нападу можа служыць павелічэнне ліку аварыйных завяршэнняў інтэрпрэтатара Ruby і рост памылак у логах, злучаных з заканчэннем таймаўту на адмалёўку старонкі пры апрацоўцы org-файлаў.
Акрамя CVE-2026-110264 у рухавічку рэгулярных выразаў ліквідаваны яшчэ тры ўразлівасці: CVE-2026-89078 (двайное вызваленне памяці пры немагчымасці парсінга шаблону пасля яго змены), CVE-2026-93577 і CVE-2029 кампіляванага шаблону).
Крыніца: opennet.ru
