গিটল্যাবে রিমোট কোড এক্সিকিউশনের জন্য রুবি দুর্বলতার সুযোগ নেওয়া হয়েছে

রুবি ৩.৩.১৩, ৩.৪.১২, এবং ৪.০.৯-এর সংশোধনমূলক রিলিজ প্রকাশিত হয়েছে, যা একটি গুরুতর দুর্বলতা (CVE-2026-110264) সমাধান করেছে। এই দুর্বলতাটি বিশেষভাবে তৈরি করা রেগুলার এক্সপ্রেশন কম্পাইল করার সময় ইন্টিজার ওভারফ্লো ঘটাতো। এই দুর্বলতাটি রুবিতে লেখা সেইসব প্রোজেক্টে আক্রমণ করার জন্য ব্যবহার করা যেতে পারে, যেগুলো রেগুলার এক্সপ্রেশনে এক্সটার্নাল ডেটা ব্যবহার করে। অন্যান্য বিষয়ের মধ্যে, গিটল্যাব কোলাবোরেটিভ ডেভেলপমেন্ট প্ল্যাটফর্মে রিমোট কোড এক্সিকিউশনের জন্য এই দুর্বলতার অপব্যবহার নিশ্চিত করা হয়েছে। গিটল্যাব আপডেট ১৯.৫.১, ১৯.৪.৩, ১৯.৩.৬, ১৯.২.৯, ১৯.১.৯, ১৯.০.১০, এবং ১৮.১১.১৩-তে এই সমস্যাটি আরও ব্লক করা হয়েছে। এই দুর্বলতাটিকে ১০-এর মধ্যে ১০ তীব্রতার স্তর (severity level) দেওয়া হয়েছে।

ওনিগমো-র রেগুলার এক্সপ্রেশন ইঞ্জিনে একটি দুর্বলতা বিদ্যমান, যা বহুবার পুনরাবৃত্তিযুক্ত কোনো প্যাটার্ন কম্পাইল করার সময় একটি অভ্যন্তরীণ আইডেন্টিফায়ার ওভারফ্লো ঘটায়। এই সমস্যাটি কেবল সেইসব অ্যাপ্লিকেশনে প্রকাশ পায়, যেগুলো Regexp.new, Regexp.union, এবং Regexp.compile মেথডের মাধ্যমে প্রক্রিয়াকৃত রেগুলার এক্সপ্রেশনে বাহ্যিক ডেটা ব্যবহার করে, অথবা "/#{input}/" আকারের লিটারেল ব্যবহার করে। Regexp.timeout মেথডের মাধ্যমে রেগুলার এক্সপ্রেশনের আকার বা এর প্রক্রিয়াকরণের সময় সীমিত করলেও এই দুর্বলতা প্রতিরোধ করা যায় না, কারণ এই আক্রমণের জন্য ছোট প্যাটার্নও ব্যবহার করা যেতে পারে।

গিটল্যাবে, একজন প্রমাণীকরণবিহীন ব্যবহারকারী একটি রেগুলার এক্সপ্রেশনে বাহ্যিক ডেটা প্রতিস্থাপন করে একটি দুর্বলতার সুযোগ নিতে পারে। এই দুর্বলতা কাজে লাগানোর পদ্ধতির বিস্তারিত বিবরণ এখনও প্রকাশ করা হয়নি (গিটল্যাবের নীতি অনুযায়ী, প্যাচ প্রকাশের ৩০ দিন পর তথ্য পাওয়া যায়), কিন্তু গিটল্যাব ব্যবহারকারীদের উপর আক্রমণের প্রচেষ্টা ইতোমধ্যেই অনলাইনে নথিভুক্ত হয়েছে। আক্রমণের পরোক্ষ লক্ষণগুলোর মধ্যে রয়েছে রুবি ইন্টারপ্রেটার ক্র্যাশের সংখ্যা বৃদ্ধি এবং .org ফাইল প্রসেস করার সময় পেজ রেন্ডারিং টাইমআউট সম্পর্কিত লগ এররের বৃদ্ধি।

CVE-2026-110264 ছাড়াও, রেগুলার এক্সপ্রেশন ইঞ্জিনে আরও তিনটি দুর্বলতা সমাধান করা হয়েছে: CVE-2026-89078 (কোনো প্যাটার্ন পরিবর্তিত হওয়ার পর তা পার্স করতে না পারলে ডাবল ফ্রি মেমরি), CVE-2026-93577, এবং CVE-2026-97229 (কম্পাইল করা প্যাটার্নের আকার গণনা করার সময় ইন্টিজার ওভারফ্লো)।

উত্স: opennet.ru