Byly zveřejněny opravy programovacího jazyka Ruby 3.3.13, 3.4.12 a 4.0.9, které odstraňují kritickou zranitelnost (CVE-2026-110264), vedoucí k přetečení celočíselného typu při kompilaci speciálně formulovaných regulárních výrazů. Tato zranitelnost může být zneužita k útokům na projekty napsané v Ruby, které používají externí data v regulárních výrazech. Mezi jiným byla potvrzena možnost zneužití zranitelnosti pro vzdálené provádění kódu na platformě pro spolupráci GitLab. Problém byl dále blokován v aktualizacích GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 a 18.11.13. Zranitelnosti byla přidělena úroveň nebezpečí 10 z 10.
Zranitelnost je přítomna v enginu regulárních výrazů Onigmo a vede k přetečení interních identifikátorů při kompilaci šablony s velkým počtem opakování. Problém se projevuje pouze v aplikacích, které používají externí data v regulárních výrazech zpracovávaných prostřednictvím metod Regexp.new, Regexp.union a Regexp.compile nebo literálů typu «/#{input}/». Omezení velikosti regulárního výrazu nebo času jeho zpracování prostřednictvím metody Regexp.timeout zranitelnost neblokuje, protože pro útok mohou být použity krátké šablony.
V GitLab může být zranitelnost zneužita neautentizovaným uživatelem kvůli substituci externích dat do regulárního výrazu. Podrobnosti o metodě zneužití zatím nebyly zveřejněny (dle pravidel GitLab jsou informace dostupné až 30 dní po zveřejnění opravy), přičemž se již v sítích zaznamenávají pokusy o útoky na uživatele GitLab. Nepřímými známkami útoku mohou být zvýšené počty havarijních ukončení interpretru Ruby a vzrůst chyb v logách souvisejících s vypršením časového limitu na vykreslení stránky při zpracování org-souborů.
Kromě CVE-2026-110264 byly v enginu regulárních výrazů odstraněny další tři zranitelnosti: CVE-2026-89078 (dvojité uvolnění paměti při nemožnosti parsování šablony po její změně), CVE-2026-93577 a CVE-2026-97229 (přetečení celočíselného typu při výpočtu velikosti kompilované šablony).
Zdroj: opennet.ru
