Ruby 3.3.13, 3.4.12 жана 4.0.9 түзөтүүчү релиздери жарыяланды, алар атайын түзүлгөн кадимки туюнтмаларды компиляциялоодо бүтүн сандын ашып кетишине алып келүүчү маанилүү алсыздыкты (CVE-2026-110264) оңдоду. Бул алсыздыкты Ruby тилинде жазылган жана кадимки туюнтмаларда тышкы маалыматтарды колдонгон долбоорлорго кол салуу үчүн колдонсо болот. Башка нерселер менен катар, GitLab биргелешип иштеп чыгуу платформасында кодду алыстан аткаруу үчүн алсыздыкты пайдалануу тастыкталды. Маселе GitLab жаңыртууларынын 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 жана 18.11.13 версияларында андан ары бөгөттөлдү. Алсыздыкка 10дон 10 оордук деңгээли берилди.
Onigmo'нун регулярдуу экспрессия кыймылдаткычында алсыздык бар жана көп сандагы кайталоолор менен үлгүнү компиляциялоодо ички идентификатордун ашып кетишине алып келет. Бул көйгөй Regexp.new, Regexp.union жана Regexp.compile методдору же "/#{input}/" формасындагы литералдар аркылуу иштетилген регулярдуу сөз айкаштарындагы тышкы маалыматтарды колдонгон тиркемелерде гана көрүнөт. Regexp.timeout методу аркылуу регулярдуу сөз айкашынын өлчөмүн же аны иштетүү убактысын чектөө алсыздыктын алдын албайт, анткени чабуул үчүн кыска үлгүлөрдү колдонсо болот.
GitLab'та алсыздыкты аутентификацияланбаган колдонуучу тышкы маалыматтарды кадимки туюнтмага алмаштыруу менен пайдалана алат. Эксплуатациялоо ыкмасынын чоо-жайы азырынча ачыкка чыга элек (GitLab'тын саясатына ылайык, маалымат патч жарыялангандан 30 күндөн кийин жеткиликтүү болот), бирок GitLab колдонуучуларына кол салуу аракеттери интернетте буга чейин эле жазылып алынган. Чабуулдун кыйыр белгилерине Ruby интерпретаторунун кыйроо санынын көбөйүшү жана .org файлдарын иштетүүдө баракчаны көрсөтүү тайм-ауттарына байланыштуу журнал каталарынын көбөйүшү кирет.
CVE-2026-110264төн тышкары, кадимки экспрессия кыймылдаткычында дагы үч алсыздык оңдолду: CVE-2026-89078 (үлгү өзгөртүлгөндөн кийин аны талдай албаганда эс тутумдун эки эсе бош болушу), CVE-2026-93577 жана CVE-2026-97229 (компиляцияланган үлгүнүн өлчөмүн эсептөөдө бүтүн сандын ашып кетиши).
Source: opennet.ru
