Objavljene su ispravke za programski jezik Ruby 3.3.13, 3.4.12 i 4.0.9, u kojima je ispravljena kritična sigurnosna ranjivost (CVE-2026-110264) koja dovodi do cjelobrojnog prelivanja prilikom kompajliranja specijalno oblikovanih regularnih izraza. Ranjivost se može iskoristiti za napade na projekte napisane u Rubyju koji koriste vanjske podatke u regularnim izrazima. Osim toga, potvrđena je mogućnost eksploatacije ranjivosti za daljinsko izvršavanje koda na platformi zajedničkog razvoja GitLab. Problem je dodatno blokiran u ažuriranjima GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 i 18.11.13. Ranjivosti je dodijeljen nivo opasnosti 10 od 10.
Ranjivost je prisutna u motoru regularnih izraza Onigmo i dovodi do prelivanja unutrašnjih identifikatora prilikom kompajliranja obrasca s velikim brojem ponavljanja. Problem se javlja samo u aplikacijama koje koriste vanjske podatke u regularnim izrazima obrađenim putem metoda Regexp.new, Regexp.union i Regexp.compile ili literala tipa «/#{input}/». Ograničenje veličine regularnog izraza ili vremena njegove obrade putem metode Regexp.timeout ne blokira ranjivost, jer se za napad mogu koristiti kratki obrasci.
U GitLabu ranjivost može biti eksploatisana od strane neautoriziranog korisnika zbog umetanja vanjskih podataka u regularni izraz. Detalji metode eksploatacije trenutno nisu otkriveni (prema pravilima GitLaba informacije postaju dostupne 30 dana nakon objavljivanja ispravke), dok se u mreži već bilježe pokušaji napada na korisnike GitLaba. Indikatori mogućeg napada mogu uključivati povećanje broja izvanrednih završetaka Ruby interpretera i rast grešaka u logovima vezanih za isteknuće vremena za prikaz stranice prilikom obrade org-datoteka.
Pored CVE-2026-110264, u motoru regularnih izraza ispravljene su još tri ranjivosti: CVE-2026-89078 (dvostruko oslobađanje memorije prilikom nemogućnosti parsiranja obrasca nakon njegove promjene), CVE-2026-93577 i CVE-2026-97229 (cjelobrojna prelivanja prilikom izračunavanja veličine kompajliranog obrasca).
Izvor: opennet.ru
