Ruby ha lanzado nuevas versiones para corregir tres vulnerabilidades críticas en Onigmo, su motor de expresiones regulares. Estas fallas, que fueron previamente parcheadas por GitLab, podrían permitir la ejecución remota de código (RCE) en servidores afectados. Cualquier aplicación Ruby que compile expresiones regulares a partir de texto controlado por un atacante está en riesgo, no solo GitLab, según su advisory.
Las vulnerabilidades surgen cuando Ruby compila un patrón de expresión regular especialmente diseñado, lo que puede llevar a la corrupción de memoria y, en última instancia, a la ejecución de código arbitrario. GitLab identificó cuatro CVEs críticos, incluyendo CVE-2026-110264, con calificaciones de hasta 10.0 CVSS. Las aplicaciones se ven afectadas si utilizan métodos como Regexp.new, Regexp.union, Regexp.compile o interpolación (/#{input}/) con entradas no confiables. Versiones anteriores como Ruby 3.2 y anteriores no recibirán parches y se recomienda la migración.
Las versiones corregidas de Ruby son 4.0.9, 3.4.12 y 3.3.13. Los usuarios de GitLab autogestionado deben aplicar las actualizaciones de GitLab, como la 19.5.1 y versiones retroportadas hasta la 18.11.13, ya que GitLab incluye su propia copia de Ruby parcheada. Si la actualización inmediata no es posible, se aconseja evitar la compilación de expresiones regulares a partir de entradas no confiables. Es importante destacar que defensas como Regexp.timeout o la limitación de la longitud del patrón no son efectivas contra estas fallas. GitLab también publicó reglas de detección para administradores.
Qué significa para tu empresa: Este tipo de vulnerabilidades de RCE, especialmente aquellas con puntuaciones CVSS de 10.0, subrayan la necesidad de una postura de seguridad proactiva y un monitoreo constante. Asegurarse de que las aplicaciones y la infraestructura subyacente estén parcheadas es fundamental, pero no siempre suficiente. Para proteger entornos complejos que usan plataformas como GitLab o aplicaciones Ruby personalizadas, es vital contar con una seguridad gestionada por capas que incluya protección de endpoints EDR/XDR, WAF para aplicaciones y un SOC con monitoreo 24/7 que pueda detectar intentos de explotación y anomalías. La analítica de logs también es crucial para identificar patrones sospechosos relacionados con estas vulnerabilidades.
Fuente original: The Hacker News — ver artículo →