Опубліковано коригувальні випуски мови програмування Ruby 3.3.13, 3.4.12 та 4.0.9, у яких усунуто критичну вразливість (CVE-2026-110264), що призводить до цілісного переповнення при компіляції спеціально оформлених регулярних виразів. Вразливість може використовуватися для атаки на проекти, написані мовою Ruby і які використовують зовнішні дані у регулярних виразах. Серед іншого, підтверджено можливість експлуатації вразливості для віддаленого виконання коду у платформі спільної розробки GitLab. Проблема додатково блокована в оновленнях GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 та 18.11.13. Вразливості надано рівень небезпеки 10 з 10.
Вразливість присутня у движку регулярних виразів Onigmo і призводить до переповнення внутрішніх ідентифікаторів при компіляції шаблону з великою кількістю повторів. Проблема проявляється лише у додатках, які використовують зовнішні дані в регулярних виразах, що обробляються через методи Regexp.new, Regexp.union та Regexp.compile або літерали виду "/#{input}/". Обмеження розміру регулярного виразу або часу його обробки через метод Regexp.timeout не блокує вразливість, оскільки для атаки можуть використовуватись короткі шаблони.
У GitLab уразливість може бути експлуатована неавтентифікованим користувачем через підстановку в регулярне вираження зовнішніх даних. Деталі методу експлуатації поки не розкриваються (за правилами GitLab інформація стає доступною через 30 днів після публікації виправлення), при цьому в мережі вже фіксуються спроби атак на користувачів GitLab. Непрямими ознаками здійснення атаки може бути збільшення кількості аварійних завершень інтерпретатора Ruby та зростання помилок у логах, пов'язаних із закінченням таймууту на відмальовування сторінки при обробці org-файлів.
Крім CVE-2026-110264 в движку регулярних виразів усунуті ще три вразливості: CVE-2026-89078 (подвійне звільнення пам'яті при неможливості парсингу шаблону після його зміни), CVE-2026-93577 і CVE-2026-97229 компілюваного шаблону).
Джерело: opennet.ru
