Se han publicado las versiones correctivas del lenguaje de programación Ruby 3.3.13, 3.4.12 y 4.0.9, que solucionan una vulnerabilidad crítica (CVE-2026-110264) que provoca un desbordamiento de enteros al compilar expresiones regulares especialmente formateadas. Esta vulnerabilidad puede ser utilizada para atacar proyectos escritos en Ruby que utilizan datos externos en expresiones regulares. Entre otras cosas, se ha confirmado la posibilidad de explotar la vulnerabilidad para la ejecución remota de código en la plataforma de colaboración GitLab. El problema también se bloquea en las actualizaciones de GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13. La vulnerabilidad se ha clasificado con un nivel de severidad de 10 sobre 10.
La vulnerabilidad está presente en el motor de expresiones regulares Onigmo y provoca un desbordamiento de identificadores internos al compilar un patrón con un gran número de repeticiones. El problema se manifiesta solo en aplicaciones que utilizan datos externos en expresiones regulares, procesadas a través de los métodos Regexp.new, Regexp.union y Regexp.compile o literales del tipo ‘/#{input}/’. Restringir el tamaño de la expresión regular o el tiempo de procesamiento a través del método Regexp.timeout no bloquea la vulnerabilidad, ya que se pueden utilizar patrones cortos para el ataque.
En GitLab, la vulnerabilidad puede ser explotada por un usuario no autenticado debido a la sustitución en la expresión regular de datos externos. Los detalles del método de explotación aún no se revelan (según las reglas de GitLab, la información se hace disponible 30 días después de la publicación de la corrección); sin embargo, ya se están registrando intentos de ataques a usuarios de GitLab. Indicadores indirectos de un ataque pueden incluir un aumento en el número de cierres inesperados del intérprete de Ruby y un incremento en los errores en los registros relacionados con el agotamiento del tiempo de espera para renderizar la página al procesar archivos org.
Además de CVE-2026-110264, el motor de expresiones regulares ha solucionado otras tres vulnerabilidades: CVE-2026-89078 (doble liberación de memoria al no poder analizar un patrón tras su modificación), CVE-2026-93577 y CVE-2026-97229 (desbordamientos de enteros al calcular el tamaño del patrón compilado).
Fuente: opennet.ru
