Avalikustatud on keele Ruby 3.3.13, 3.4.12 ja 4.0.9 paranduste väljaanded, milles on kõrvaldatud kriitiline haavatavus (CVE-2026-110264), mis toob kaasa täisarvude ülevoolu spetsiaalselt kujundatud regulaaravalduste kompileerimisel. Haavatavust saab kasutada rünnakutel Ruby keeles kirjutatud projektide vastu, mis kasutavad regulaaravaldustes väliseid andmeid. Teiste seas on kinnitatud haavatavuse võimalust kuritarvitada kaugarvutamise jaoks GitLabi koostööplatvormil. Probleem on täiendavalt blokeeritud GitLabi uuendustes 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ja 18.11.13. Haavatusele on määratud ohu tase 10 10st.
Haavatavus esineb regulaaravalduste mootoris Onigmo ja toob kaasa siseidentifikaatorite ülevoolu mallide kompileerimisel, kus on palju kordusi. Probleem ilmneb ainult rakendustes, mis kasutavad regulaaravaldustes väliseid andmeid, töötledes neid meetodite Regexp.new, Regexp.union ja Regexp.compile või näidistega «\/#{input}\/». Regulaaravaldiste suuruse või nende töötlemise aja piiramise meetodiga Regexp.timeout ei blokeeri haavatavust, kuna rünnakute jaoks võivad kasutada lühikesi malli.
GitLabis saab haavatavust kuritarvitada autentimata kasutaja, kuna väliste andmete asendamine regulaaravaldustes on võimalik. Ründemeetodi üksikasjad pole veel avalikustatud (vastavalt GitLabi reeglitele on teave kättesaadav 30 päeva pärast paranduse avaldamist), samas kajastatakse juba katseid rünnata GitLabi kasutajaid. Rünnaku kaudseteks tunnusteks võivad olla Ruby tõlgendaja ootamatute lõpetamiste arvu suurenemine ja veateated logides, mis on seotud lehe renderdamise ajakulu ületamisega org-failide töötlemisel.
Lisaks CVE-2026-110264 on regulaaravalduste mootoris kõrvaldatud veel kolm haavatavust: CVE-2026-89078 (mälu kahekordne vabastamine, kui mallide muutmine ei õnnestu), CVE-2026-93577 ja CVE-2026-97229 (täisarvude ülevoolud kompileeritava malli suuruse arvutamisel).
Allikas: opennet.ru
