Ruby 3.3.13, 3.4.12 va 4.0.9 ning tuzatuvchi versiyalari nashr etildi, ular maxsus yaratilgan muntazam ifodalarni kompilyatsiya qilishda butun sonning toshib ketishiga olib keladigan muhim zaiflikni (CVE-2026-110264) tuzatdi. Ushbu zaiflikdan Rubyda yozilgan va muntazam ifodalarda tashqi ma'lumotlardan foydalanadigan loyihalarga hujum qilish uchun foydalanish mumkin. Boshqa narsalar qatori, GitLab hamkorlikdagi ishlab chiqish platformasida masofaviy kodni bajarish uchun zaiflikdan foydalanish tasdiqlandi. Muammo GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 va 18.11.13 yangilanishlarida yanada bloklandi. Zaiflikka 10 balldan 10 ball jiddiylik darajasi berildi.
Onigmo'ning muntazam ifoda mexanizmida zaiflik mavjud va ko'p sonli takrorlanishlar bilan naqshni kompilyatsiya qilishda ichki identifikatorning toshib ketishiga olib keladi. Muammo faqat Regexp.new, Regexp.union va Regexp.compile usullari yoki "/#{input}/" shaklidagi literallar orqali qayta ishlangan muntazam ifodalardagi tashqi ma'lumotlardan foydalanadigan ilovalarda namoyon bo'ladi. Regexp.timeout usuli orqali muntazam ifoda hajmini yoki uni qayta ishlash vaqtini cheklash zaiflikning oldini olmaydi, chunki hujum uchun qisqa naqshlardan foydalanish mumkin.
GitLabda zaiflikdan autentifikatsiyalanmagan foydalanuvchi tashqi ma'lumotlarni oddiy ifodaga almashtirish orqali foydalanishi mumkin. Ekspluatatsiya usulining tafsilotlari hali oshkor qilinmagan (GitLab siyosatiga ko'ra, ma'lumotlar yamoq nashr etilganidan 30 kun o'tgach mavjud bo'ladi), ammo GitLab foydalanuvchilariga hujum qilishga urinishlar allaqachon onlayn qayd etilgan. Hujumning bilvosita belgilari orasida Ruby interpretatorining ishdan chiqishi sonining ko'payishi va .org fayllarini qayta ishlashda sahifani ko'rsatish vaqti tugashi bilan bog'liq jurnal xatolarining ko'payishi kiradi.
CVE-2026-110264 dan tashqari, muntazam ifoda mexanizmida yana uchta zaiflik tuzatildi: CVE-2026-89078 (shablon o'zgartirilgandan keyin uni tahlil qila olmaganida xotira ikki baravar bo'sh), CVE-2026-93577 va CVE-2026-97229 (kompilyatsiya qilingan naqsh hajmini hisoblashda butun sonning toshib ketishi).
Manba: opennet.ru
