Уязвимост в Ruby, експлоатирана за дистанционно изпълнение на код в GitLab

Публикувани са коригиращи версии на програмния език Ruby 3.3.13, 3.4.12 и 4.0.9, в които е премахната критична уязвимост (CVE-2026-110264), водеща до целочислено препълване при компилиране на специално форматирани регулярни изрази. Уязвимостта може да бъде използвана за атака на проекти, написани на езика Ruby и използващи външни данни в регулярните изрази. Сред другото, е потвърдена възможността за експлоатация на уязвимостта за отдалечено изпълнение на код на платформата за съвместна разработка GitLab. Проблемът е допълнително блокиран в актуализации GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. На уязвимостта е присвоен индекс на опасност 10 от 10.

Уязвимостта присъства в механизма за регулярни изрази Onigmo и води до препълване на вътрешни идентификатори при компилиране на шаблон с голям брой повторения. Проблемът се проявява само в приложения, използващи външни данни в регулярните изрази, обработвани чрез методите Regexp.new, Regexp.union и Regexp.compile или литерали от типа „/#{input}/“. Ограничаването на размера на регулярния израз или времето за обработка чрез метода Regexp.timeout не блокира уязвимостта, тъй като за атака могат да се използват кратки шаблони.

В GitLab уязвимостта може да бъде експлоатирана от неаутентифициран потребител поради подмяна на външни данни в регулярното изразяване. Детайлите относно метода на експлоатация все още не са разкрити (според правилата на GitLab информацията става достъпна 30 дни след публикуването на корекция), като в мрежата вече се фиксират опити за атаки срещу потребители на GitLab. Косвени признаци за осъществяване на атака могат да бъдат увеличен брой аварийни завършвания на интерпретатора Ruby и нарастване на грешките в логовете, свързани с изтичането на таймаут при рендиране на страницата при обработка на org-файлове.

Освен CVE-2026-110264, в механизма за регулярни изрази са отстранени още три уязвимости: CVE-2026-89078 (двойно освобождаване на памет, когато парсингът на шаблона е невъзможен след промяна), CVE-2026-93577 и CVE-2026-97229 (целочислени препълвания при изчисляване на размера на компилирания шаблон).

Източник: opennet.ru