{"id":184003,"date":"2026-10-26T11:41:01","date_gmt":"2026-10-26T09:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-ruby-ekspluatiruemaya-dlya-udalyonnogo-vypolneniya-koda-v-gitlab"},"modified":"2026-10-26T11:41:08","modified_gmt":"2026-10-26T09:41:08","slug":"ruby-vulnerability-exploited-for-remote-code-execution-in-gitlab","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/ruby-vulnerability-exploited-for-remote-code-execution-in-gitlab","title":{"rendered":"Ruby sebez\u00e9s, amelyet a GitLab t\u00e1voli k\u00f3dv\u00e9grehajt\u00e1s\u00e1ra haszn\u00e1lnak ki","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Megjelentek a Ruby programoz\u00e1si nyelv 3.3.13, 3.4.12 \u00e9s 4.0.9 verzi\u00f3j\u00e1nak jav\u00edt\u00f3 kiad\u00e1sa, amelyekben egy kritikus sebezhet\u0151s\u00e9get (CVE-2026-110264) jav\u00edtottak, amely eg\u00e9sz sz\u00e1mok t\u00falcsordul\u00e1s\u00e1t okozhatja kifejezetten megform\u00e1lt regul\u00e1ris kifejez\u00e9sek ford\u00edt\u00e1sa sor\u00e1n. A sebezhet\u0151s\u00e9g kihaszn\u00e1lhat\u00f3 Ruby nyelven \u00edrt projektek t\u00e1mad\u00e1s\u00e1ra, amelyek k\u00fcls\u0151 adatokat haszn\u00e1lnak regul\u00e1ris kifejez\u00e9sekben. Emellett meger\u0151s\u00edt\u00e9st nyert, hogy a sebezhet\u0151s\u00e9g kihaszn\u00e1l\u00e1sa t\u00e1voli k\u00f3dv\u00e9grehajt\u00e1sra is alkalmas a GitLab k\u00f6z\u00f6s fejleszt\u00e9si platformon. A probl\u00e9m\u00e1t a GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 \u00e9s 18.11.13 friss\u00edt\u00e9sekkel is megoldott\u00e1k. A sebezhet\u0151s\u00e9g kock\u00e1zati szintje 10-b\u0151l 10. <\/p>\n
A sebezhet\u0151s\u00e9g az Onigmo regul\u00e1ris kifejez\u00e9sek motorj\u00e1ban van, \u00e9s a bels\u0151 azonos\u00edt\u00f3k t\u00falcsordul\u00e1s\u00e1t okozza egy nagy ism\u00e9tl\u00e9s\u0171 minta leford\u00edt\u00e1sakor. A probl\u00e9ma csak azokban az alkalmaz\u00e1sokban jelentkezik, amelyek k\u00fcls\u0151 adatokat haszn\u00e1lnak a regul\u00e1ris kifejez\u00e9sekben, amelyeket a Regexp.new, Regexp.union \u00e9s Regexp.compile m\u00f3dszereken, vagy a «\\\/#{input}\\\/» form\u00e1tum\u00fa liter\u00e1lokon kereszt\u00fcl dolgoznak fel. A regul\u00e1ris kifejez\u00e9s m\u00e9ret\u00e9nek vagy feldolgoz\u00e1si id\u0151\u00e9nek korl\u00e1toz\u00e1sa a Regexp.timeout m\u00f3dszerrel nem g\u00e1tolja a sebezhet\u0151s\u00e9get, mivel a t\u00e1mad\u00e1shoz r\u00f6vid mint\u00e1k is felhaszn\u00e1lhat\u00f3k. <\/p>\n
A GitLabban a sebezhet\u0151s\u00e9g kihaszn\u00e1lhat\u00f3 nem hiteles\u00edtett felhaszn\u00e1l\u00f3 \u00e1ltal a k\u00fcls\u0151 adatok regul\u00e1ris kifejez\u00e9sbe val\u00f3 behelyettes\u00edt\u00e9se r\u00e9v\u00e9n. A kihaszn\u00e1l\u00e1si m\u00f3dszerek r\u00e9szleteit m\u00e9g nem tett\u00e9k k\u00f6zz\u00e9 (a GitLab szab\u00e1lyai szerint az inform\u00e1ci\u00f3k 30 nappal a jav\u00edt\u00e1s k\u00f6zz\u00e9t\u00e9tele ut\u00e1n v\u00e1lik el\u00e9rhet\u0151v\u00e9), de a h\u00e1l\u00f3zaton m\u00e1r \u00e9szleltek pr\u00f3b\u00e1lkoz\u00e1sokat a GitLab felhaszn\u00e1l\u00f3inak megt\u00e1mad\u00e1s\u00e1ra. A t\u00e1mad\u00e1sok k\u00f6zvetett jelei lehetnek a Ruby interpreter v\u00e1ratlan le\u00e1ll\u00e1sainak sz\u00e1m\u00e1nak n\u00f6veked\u00e9se \u00e9s a lapkiad\u00e1si id\u0151t\u00fall\u00e9p\u00e9shez kapcsol\u00f3d\u00f3 hib\u00e1k sz\u00e1m\u00e1nak emelked\u00e9se az org-f\u00e1jlok feldolgoz\u00e1sa sor\u00e1n.<\/p>\n
A CVE-2026-110264-en k\u00edv\u00fcl a regul\u00e1ris kifejez\u00e9s motorban m\u00e9g h\u00e1rom sebezhet\u0151s\u00e9get is kijav\u00edtottak: CVE-2026-89078 (a mem\u00f3ria dupla felszabad\u00edt\u00e1sa, amikor a minta m\u00f3dos\u00edt\u00e1sa ut\u00e1n a parse lehetetlen), CVE-2026-93577 \u00e9s CVE-2026-97229 (eg\u00e9sz sz\u00e1mok t\u00falcsordul\u00e1sa a lefordul\u00f3 minta m\u00e9ret\u00e9nek kisz\u00e1m\u00edt\u00e1sa sor\u00e1n). \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"