Ruby, GitLab’de Dört Kritik Uzaktan Kod Çalıştırma Açığına Yol Açan Üç Regex Motoru Hatasını Düzeltti.

Gorsel Kaynagi: The Hacker News

Ruby, dilin içinde yer alan düzenli ifade (regex) motoru Onigmo’daki üç hatayı düzeltmek için 4.0.9, 3.4.12 ve 3.3.13 sürümlerini yayımladı. Bu hatalar, GitLab’ın geçen ay içinde düzelttiği kritik güvenlik açığı sayısının arkasında yatıyor.

GitLab, özel olarak hazırlanmış bir desenin Ruby onu derlerken belleği bozabileceğini ve bunun kendi sunucularında kod çalıştırmasına yol açabileceğini tespit etti.

Ruby’ye göre, bir saldırganın kontrolündeki metinden düzenli ifade derleyen her uygulama etkileniyor; durum yalnızca GitLab ile sınırlı değil.

Hangi Uygulamalar Etkileniyor

Ruby’nin uyarısında, bir uygulamanın yalnızca saldırganın kontrolündeki bir dizgiden düzenli ifade derlediğinde etkilendiği belirtildi. Bu durum, bir programın böyle bir dizgiyi Regexp.new, Regexp.union veya Regexp.compile fonksiyonlarına aktardığında ya da /#{input}/ örneğinde olduğu gibi onu bir desenin içine yerleştirdğinde ortaya çıkıyor.

Ruby, hataları 4.0.9, 3.4.12 ve 3.3.13 sürümlerinde düzeltti. 3.4.12 ve 3.3.13 sürümleri, bu üç düzeltmenin herhangi birini taşıyan serilerindeki ilk sürümler oldu.

• Ruby 4.0: 4.0.9’a güncelleyin
• Ruby 3.4: 3.4.12’ye güncelleyin
• Ruby 3.3: 3.3.13’e güncelleyin

Aynı haftadan önce yayımlanan 4.0.8 sürümü, açıklardan biri olan CVE-2026-110264 için düzeltmeyi içermiyor; bu nedenle 4.0 kullanıcılarının 4.0.9’u kurması gerekiyor.

Ruby 3.2 ve önceki sürümler düzeltme almayacak. Ruby 3.2, 1 Nisan 2026’da yaşam döngüsünü tamamladı ve 3.2.11 son sürümüydü. Ruby, 3.4 veya 4.0’a geçilmesi öneriliyor.

Henüz güncelleyemiyorsanız, uyarı düzenli ifadelerin güvensiz girdiden derlenmesini durdurmayı öneriyor.

Yardım edecek gibi görünen iki savunma işe yaramaz. Regexp.timeout ayarlamak bu hataları durdurmaz. Bir desenin uzunluğunu sınırlamak da güvensizdir çünkü kısa desenler bile hataları tetikleyebilir.

Hatalar GitLab’a Nasıl Ulaştı

GitLab, kullanıcılarının sağladığı düzenli ifadeleri derler; örneğin CI/CD yapılandırmasındaki desenler gibi. Özel desenlerin Ruby onları derlerken belleği bozabileceğini tespit etti ve 23 Eylül ile 21 Ekim arasında dört CVE yayımladı; her birini düzeltilmiş bir Ruby göndererek düzeltti.

İlk iki zafiyet 23 Eylül’de duyuruldu; her ikisi de giriş yapmış bir hesap gerektiriyor ve 10 üzerinden 9.9 olarak derecelendirildi. Ekim ayına ait olanlar—12’sinde CVE-2026-97229 ve 21’inde CVE-2026-110264—hesap gerektirmiyor ve maksimum olan 10.0 olarak derecelendirildi. CVE-2026-110264, 7.0’dan itibaren tüm GitLab sürümlerine erişiyor.

joaxcar takısını kullanan bir araştırmacı, dört zafiyeti de GitLab’ın hazine avı (bug bounty) programı aracılığıyla bildirdi. 23 Ekim itibarıyla bu dört zafiyetten hiçbiri CISA‘ın Bilinen İstismar Edilen Zafiyetler kataloğunda listelenmemişti.

Şimdilik Ruby’ye ait bir CVE yok

Ruby, bu düzeltmeler için kendi CVE kimliklerini talep etmedi; “en azından şimdilik,” dedi ve kullanıcıları sorunları GitLab’ın dört CVE numarasıyla takip etmeye yönlendirdi.

Bu, CVE tarafından tarama yapan herkes için bir boşluk bırakıyor. GitLab’ın CVE kayıtları yalnızca etkililen ürün olarak GitLab’ı adlandırıyor; dolayısıyla bu kayıtları kurulu Ruby sürümleriyle karşılaştıran bir tarama aracı eşleşecek bir şey bulamıyor.

Ruby, bu tür bir hatayı daha önce bir zafiyet olarak değerlendirdi; 2022 ve 2024 yıllarında düzeltmelere CVE numarası atadı, oysa güvensiz girişten düzenli ifade (regular expression) oluşturmanın uzun zamandır güvenli olmaması gerekiyordu.

Dokümantasyonundan güvensiz kalıpların yalnızca hizmet reddi (denial-of-service) riski olarak tanımlandığı belirtiliyor. Ruby, herhangi bir CVE kimliği talep etmesi durumunda uyarısını güncelleyeceğini söyledi.

GitLab Yöneticileri İçin

Kendi kendini yöneten GitLab örnekleri, CVE-2026-110264’ü düzelten sürümü gerektiriyor. GitLab bunu 21 Ekim’de yayımladı ve 18.11.13’e kadar geriye dönük olarak (backport) dahil etti.

• 19.5.1
• 19.4.3
• 19.3.6
• 19.2.9
• 19.1.9
• 19.0.10
• 18.11.13

GitLab.com zaten yamalı sürümü çalıştırıyor ve yakın iç sürümlerdeki GitLab Dedicated kiracıları için bir eylem gerekmiyor; GitLab, GitLab’ın kendi Ruby kopyasını paketlediğini ve onu burada yamalığını söyledi. Bu düzeltilmiş sürümlerden birinin kurulması, düzeltmeyi uyguluyor.

GitLab ayrıca kendi kendini yöneten yöneticilerin istismar girişimlerinin belirtilerini aramak için kullanabileceği tespit kurallarını da yayımladı.