Es wurden Korrekturversionen der Programmiersprache Ruby 3.3.13, 3.4.12 und 4.0.9 veröffentlicht, die eine kritische Sicherheitsanfälligkeit (CVE-2026-110264) beheben, die zu einem Überlauf bei der Kompilierung speziell gestalteter regulärer Ausdrücke führt. Diese Sicherheitsanfälligkeit kann für Angriffe auf Projekte, die in Ruby geschrieben sind und externe Daten in regulären Ausdrücken verwenden, missbraucht werden. Unter anderem wurde die Möglichkeit der Ausnutzung der Sicherheitsanfälligkeit für die Remote-Ausführung von Code auf der Plattform GitLab bestätigt. Das Problem wurde außerdem in den Updates GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 blockiert. Der Gefährdungsgrad der Sicherheitsanfälligkeit wurde mit 10 von 10 bewertet.
Die Sicherheitsanfälligkeit tritt im regulären Ausdruck-Engine Onigmo auf und führt zu einem Überlauf interner Identifikatoren bei der Kompilierung eines Musters mit einer großen Anzahl von Wiederholungen. Das Problem tritt nur in Anwendungen auf, die externe Daten in regulären Ausdrücken verwenden, die über die Methoden Regexp.new, Regexp.union und Regexp.compile oder Literale der Form „/#{input}/“ verarbeitet werden. Eine Einschränkung der Größe des regulären Ausdrucks oder der Verarbeitungszeit über die Methode Regexp.timeout blockiert die Sicherheitsanfälligkeit nicht, da für den Angriff kurze Muster verwendet werden können.
In GitLab kann die Sicherheitsanfälligkeit von einem nicht authentifizierten Benutzer aufgrund der Einfügung externer Daten in den regulären Ausdruck ausgenutzt werden. Die Einzelheiten der Ausnutzungsmethode werden derzeit nicht veröffentlicht (laut den Regeln von GitLab wird die Information 30 Tage nach der Veröffentlichung des Patches verfügbar), bereits jetzt werden jedoch im Internet Versuche verzeichnet, Angriffe auf GitLab-Benutzer durchzuführen. Indirekte Anzeichen für einen Angriff können eine Zunahme der plötzlichen Beendigungen des Ruby-Interpreters und ein Anstieg von Fehlern in den Protokollen sein, die mit dem Timeout beim Rendern der Seite bei der Verarbeitung von org-Dateien zusammenhängen.
Neben CVE-2026-110264 wurden im regulären Ausdruck-Engine drei weitere Sicherheitsanfälligkeiten behoben: CVE-2026-89078 (doppelte Speicherfreigabe bei der Unfähigkeit, ein Muster nach dessen Änderung zu parsen), CVE-2026-93577 und CVE-2026-97229 (Überläufe bei der Berechnung der Größe des zu kompilierenden Musters).
Quelle: opennet.ru
