Korrigerende utgivelser av Ruby 3.3.13, 3.4.12 og 4.0.9 er publisert, og retter en kritisk sårbarhet (CVE-2026-110264) som fører til heltallsoverløp ved kompilering av spesiallagde regulære uttrykk. Denne sårbarheten kan brukes til å angripe prosjekter skrevet i Ruby som bruker eksterne data i regulære uttrykk. Blant annet er utnyttelse av sårbarheten for ekstern kodekjøring i GitLabs samarbeidsplattform for utvikling bekreftet. Problemet er ytterligere blokkert i GitLab-oppdateringene 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 og 18.11.13. Sårbarheten har fått en alvorlighetsgrad på 10 av 10.
Det finnes en sårbarhet i Onigmos motor for regulære uttrykk, som forårsaker intern identifikatoroverløp når et mønster med et stort antall repetisjoner kompileres. Problemet manifesterer seg bare i applikasjoner som bruker eksterne data i regulære uttrykk behandlet via metodene Regexp.new, Regexp.union og Regexp.compile, eller literaler av formen "/#{input}/". Å begrense størrelsen på det regulære uttrykket eller behandlingstiden via Regexp.timeout-metoden forhindrer ikke sårbarheten, ettersom korte mønstre kan brukes til angrepet.
I GitLab kan en sårbarhet utnyttes av en uautorisert bruker ved å erstatte eksterne data i et regulært uttrykk. Detaljer om utnyttelsesmetoden er ennå ikke offentliggjort (i henhold til GitLabs policy blir informasjon tilgjengelig 30 dager etter at oppdateringen er publisert), men forsøk på å angripe GitLab-brukere er allerede registrert på nettet. Indirekte tegn på et angrep inkluderer en økning i antall Ruby-tolkekrasj og en økning i loggfeil relatert til tidsavbrudd for sidegjengivelse ved behandling av .org-filer.
I tillegg til CVE-2026-110264 er tre sårbarheter i motoren for regulære uttrykk rettet: CVE-2026-89078 (dobbel frigjøring av minne når et mønster ikke kan analyseres etter at det er endret), CVE-2026-93577 og CVE-2026-97229 (heltallsoverløp ved beregning av størrelsen på et kompilert mønster).
Kilde: opennet.ru
