Matoleo ya kurekebisha ya Ruby 3.3.13, 3.4.12, na 4.0.9 yamechapishwa, yakirekebisha udhaifu muhimu (CVE-2026-110264) unaosababisha kufurika kwa nambari kamili wakati wa kukusanya misemo ya kawaida iliyotengenezwa maalum. Udhaifu huu unaweza kutumika kushambulia miradi iliyoandikwa katika Ruby ambayo hutumia data ya nje katika misemo ya kawaida. Miongoni mwa mambo mengine, utumiaji wa udhaifu kwa utekelezaji wa msimbo wa mbali katika jukwaa la uundaji shirikishi la GitLab umethibitishwa. Suala hilo limezuiwa zaidi katika masasisho ya GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, na 18.11.13. Udhaifu huo umepewa kiwango cha ukali cha 10 kati ya 10.
Udhaifu upo katika injini ya usemi wa kawaida ya Onigmo na husababisha kitambulisho cha ndani kufurika wakati wa kukusanya muundo wenye idadi kubwa ya marudio. Suala hili linajidhihirisha tu katika programu zinazotumia data ya nje katika usemi wa kawaida unaosindikwa kupitia mbinu za Regexp.new, Regexp.union, na Regexp.compile, au herufi halisi za umbo "/#{input}/." Kupunguza ukubwa wa usemi wa kawaida au muda wake wa usindikaji kupitia mbinu ya Regexp.timeout hakuzuii udhaifu huo, kwani mifumo mifupi inaweza kutumika kwa shambulio hilo.
Katika GitLab, udhaifu unaweza kutumiwa vibaya na mtumiaji ambaye hajathibitishwa kwa kubadilisha data ya nje kuwa usemi wa kawaida. Maelezo ya mbinu ya unyonyaji bado hayajafichuliwa (kulingana na sera ya GitLab, taarifa inapatikana siku 30 baada ya kiraka kuchapishwa), lakini majaribio ya kushambulia watumiaji wa GitLab tayari yamerekodiwa mtandaoni. Ishara zisizo za moja kwa moja za shambulio ni pamoja na ongezeko la idadi ya ajali za mkalimani wa Ruby na ongezeko la makosa ya kumbukumbu yanayohusiana na muda wa utoaji wa ukurasa wakati wa kuchakata faili za .org.
Mbali na CVE-2026-110264, udhaifu mwingine tatu umerekebishwa katika injini ya usemi wa kawaida: CVE-2026-89078 (kumbukumbu isiyo na kumbukumbu mara mbili inaposhindwa kuchanganua muundo baada ya kurekebishwa), CVE-2026-93577, na CVE-2026-97229 (nambari kamili hufurika wakati wa kuhesabu ukubwa wa muundo uliokusanywa).
Chanzo: opennet.ru
