Sono stati pubblicati aggiornamenti correttivi per il linguaggio di programmazione Ruby 3.3.13, 3.4.12 e 4.0.9, che risolvono una vulnerabilità critica (CVE-2026-110264), che porta a un overflow intero durante la compilazione di espressioni regolari appositamente formattate. La vulnerabilità può essere utilizzata per attaccare progetti scritti in Ruby che utilizzano dati esterni nelle espressioni regolari. Tra l'altro, è stata confermata la possibilità di sfruttare la vulnerabilità per l'esecuzione remota di codice nella piattaforma di sviluppo collaborativo GitLab. Il problema è ulteriormente bloccato negli aggiornamenti di GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13. La vulnerabilità ha ricevuto un livello di gravità di 10 su 10.
La vulnerabilità è presente nel motore delle espressioni regolari Onigmo e porta a un overflow degli identificatori interni durante la compilazione di un modello con un numero elevato di ripetizioni. Il problema si manifesta solo nelle applicazioni che utilizzano dati esterni nelle espressioni regolari, elaborate attraverso i metodi Regexp.new, Regexp.union e Regexp.compile o letterali del tipo "/#{input}/". La limitazione della dimensione dell'espressione regolare o del tempo di elaborazione tramite il metodo Regexp.timeout non blocca la vulnerabilità, poiché per l'attacco possono essere utilizzati modelli brevi.
In GitLab, la vulnerabilità può essere sfruttata da un utente non autenticato a causa della sostituzione nei modelli di espressione regolare con dati esterni. I dettagli del metodo di sfruttamento non sono ancora stati rivelati (secondo le regole di GitLab, le informazioni diventano disponibili 30 giorni dopo la pubblicazione della correzione), tuttavia, in rete sono già segnalati tentativi di attacco agli utenti di GitLab. Segni indiretti di attacchi possono includere un aumento del numero di crash dell'interprete Ruby e un aumento degli errori nei log, legati all'esaurimento del timeout durante il rendering di org-file.
Oltre a CVE-2026-110264, nel motore delle espressioni regolari sono state risolte altre tre vulnerabilità: CVE-2026-89078 (doppia liberazione di memoria impossibile durante il parsing di un modello dopo la sua modifica), CVE-2026-93577 e CVE-2026-97229 (overflow interi durante il calcolo della dimensione del modello compilato).
Fonte: opennet.ru
