Megjelentek a Ruby programozási nyelv 3.3.13, 3.4.12 és 4.0.9 verziójának javító kiadása, amelyekben egy kritikus sebezhetőséget (CVE-2026-110264) javítottak, amely egész számok túlcsordulását okozhatja kifejezetten megformált reguláris kifejezések fordítása során. A sebezhetőség kihasználható Ruby nyelven írt projektek támadására, amelyek külső adatokat használnak reguláris kifejezésekben. Emellett megerősítést nyert, hogy a sebezhetőség kihasználása távoli kódvégrehajtásra is alkalmas a GitLab közös fejlesztési platformon. A problémát a GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 és 18.11.13 frissítésekkel is megoldották. A sebezhetőség kockázati szintje 10-ből 10.
A sebezhetőség az Onigmo reguláris kifejezés motorjában található, és a belső azonosítók túlcsordulását okozza a számos ismétlést tartalmazó minta fordítása során. A probléma csak azokban az alkalmazásokban jelentkezik, amelyek külső adatokat használnak reguláris kifejezésekben, amelyeket a Regexp.new, Regexp.union és Regexp.compile metódusokkal dolgoznak fel, vagy az „ /#{input}/ ” típusú literálokkal. A reguláris kifejezés méretének vagy annak feldolgozási idejének korlátozása a Regexp.timeout metódussal nem gátolja a sebezhetőséget, mivel a támadáshoz rövid minták is felhasználhatók.
A GitLabban a sebezhetőség kihasználható nem hitelesített felhasználó által a külső adatok reguláris kifejezésbe való behelyettesítése révén. A kihasználási módszerek részleteit még nem tették közzé (a GitLab szabályai szerint az információk 30 nappal a javítás közzététele után válik elérhetővé), de a hálózaton már észleltek próbálkozásokat a GitLab felhasználóinak megtámadására. A támadások közvetett jelei lehetnek a Ruby interpreter váratlan leállásainak számának növekedése és a lapkiadási időtúllépéshez kapcsolódó hibák számának emelkedése az org-fájlok feldolgozása során.
A CVE-2026-110264-en kívül a reguláris kifejezés motorban még három sebezhetőséget is kijavítottak: CVE-2026-89078 (a memória dupla felszabadítása, amikor a minta módosítása után a parse lehetetlen), CVE-2026-93577 és CVE-2026-97229 (egész számok túlcsordulása a leforduló minta méretének kiszámítása során).
Forrás: opennet.ru
