{"id":184003,"date":"2026-10-26T11:41:01","date_gmt":"2026-10-26T09:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-ruby-ekspluatiruemaya-dlya-udalyonnogo-vypolneniya-koda-v-gitlab"},"modified":"2026-10-26T11:41:08","modified_gmt":"2026-10-26T09:41:08","slug":"ruby-vulnerability-exploited-for-remote-code-execution-in-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/ruby-vulnerability-exploited-for-remote-code-execution-in-gitlab","title":{"rendered":"Ruby haavatavus, mida kasutatakse GitLabis kaugkoodi t\u00e4itmiseks.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avalikustatud on keele Ruby 3.3.13, 3.4.12 ja 4.0.9 paranduste v\u00e4ljaanded, milles on k\u00f5rvaldatud kriitiline haavatavus (CVE-2026-110264), mis toob kaasa t\u00e4isarvude \u00fclevoolu spetsiaalselt kujundatud regulaaravalduste kompileerimisel. Haavatavust saab kasutada r\u00fcnnakutel Ruby keeles kirjutatud projektide vastu, mis kasutavad regulaaravaldustes v\u00e4liseid andmeid. Teiste seas on kinnitatud haavatavuse v\u00f5imalust kuritarvitada kaugarvutamise jaoks GitLabi koost\u00f6\u00f6platvormil. Probleem on t\u00e4iendavalt blokeeritud GitLabi uuendustes 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ja 18.11.13. Haavatusele on m\u00e4\u00e4ratud ohu tase 10 10st. <\/p>\n
Haavatavus on olemas Onigmo regulaarsete v\u00e4ljendite mootoris ja see p\u00f5hjustab sisemiste identifikaatorite \u00fclevoolu, kui kompileeritakse malli, kus on palju kordusi. Probleem ilmneb ainult rakendustes, mis kasutavad regulaarsetes v\u00e4ljendites v\u00e4liseid andmeid, mida t\u00f6\u00f6deldakse meetodite Regexp.new, Regexp.union ja Regexp.compile kaudu v\u00f5i kirjeldustes, nagu «\\\/#{input}\\\/». Regulaarse v\u00e4ljendi suuruse v\u00f5i selle t\u00f6\u00f6tlemise ajapiirang meetodi Regexp.timeout kaudu ei blokeeri haavatavust, kuna r\u00fcnnakuks v\u00f5ivad kasutada l\u00fchikesi malli. <\/p>\n
GitLabis saab haavatavust kuritarvitada autentimata kasutaja, kuna v\u00e4liste andmete asendamine regulaaravaldustes on v\u00f5imalik. R\u00fcndemeetodi \u00fcksikasjad pole veel avalikustatud (vastavalt GitLabi reeglitele on teave k\u00e4ttesaadav 30 p\u00e4eva p\u00e4rast paranduse avaldamist), samas kajastatakse juba katseid r\u00fcnnata GitLabi kasutajaid. R\u00fcnnaku kaudseteks tunnusteks v\u00f5ivad olla Ruby t\u00f5lgendaja ootamatute l\u00f5petamiste arvu suurenemine ja veateated logides, mis on seotud lehe renderdamise ajakulu \u00fcletamisega org-failide t\u00f6\u00f6tlemisel.<\/p>\n