GitLab stopft eine CVSS-10,0-Lücke in der mitgelieferten Regex-Engine Onigmo — Code-Ausführung vor dem Login auf jeder V
Die Schattenseiten der Entwicklung

GitLab stopft eine CVSS-10,0-Lücke in der mitgelieferten Regex-Engine Onigmo — Code-Ausführung vor dem Login auf jeder Version seit 7.0 aus dem Jahr 2014, sieben Fixes auf einen Schlag

2 Min. Lesezeit Kalina

GitLab stopft eine CVSS-10,0-Lücke in der mitgelieferten Regex-Engine Onigmo — Code-Ausführung vor dem Login auf jeder Version seit 7.0 aus dem Jahr 2014, sieben Fixes auf einen Schlag — CVE-2026-110264 entsteht als Integer-Überlauf beim Kompilieren eines speziell geformten regulären Ausdrucks in Onigmo, der Ruby-Regex-Maschine, die GitLab in jedem Paket mitliefert und in eigenen Builds selbst gepatcht: unter bestimmten Bedingungen kann ein unangemeldeter Angreifer beliebigen Code auf der self-managed-Instanz ausführen; betroffen ist jede Community- und Enterprise-Version ab 7.0 (2014), gefixt am 21. Oktober in 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 und 19.5.1 — out-of-band, das Advisory nennt keinen Übergangs-Workaround, nur das Upgrade hilft; GitLab.com und Dedicated-Kunden laufen bereits auf gefixten Builds, handeln muss nur, wer selbst betreibt; dazu veröffentlichte GitLab zwei Detection-Regeln (“Onigmo native worker crash”, “Org mode render error burst”), die Exploit-Versuche sichtbar machen sollen, ohne dass ein Missbrauch belegt wäre. GitLab-Release · The Hacker News · 🗃 Wayback Machine (Archiv)

ℹ️ KI-Hinweis
Die Inhalte dieses Artikels wurden automatisiert mittels Künstlicher Intelligenz generiert. Die zugrundeliegenden Daten stammen von docs.gitlab.com. Es erfolgte keine manuelle redaktionelle Bearbeitung.

Einordnung in die Rubrik Die Schattenseiten der Entwicklung

Dieser Beitrag erfüllt ein Kriterium der Rubrik. Belegt ist das durch:

  • Sicherheitsvorfall in der Zusammenfassung — „GitLab stopft eine CVSS-10,0-Lücke in der mitgelieferten Regex-Engine Onigmo — Code-Ausführung vor dem Login auf jeder Version seit 7.0 aus dem Jahr 2014, sieben Fixes auf einen Schlag — CVE-2026-110264 entsteht als Integer-Überlauf beim Kompilieren eines speziell geformten regulären Ausdrucks in Onigmo, der …“

Kriterien der Rubrik — Sicherheitsvorfall: Angriff, Datenleck, Schwachstelle oder Erpressung. Die Rubrik steht zusätzlich zur Themenspalte: der Beitrag bleibt in seinem Ressort.

Quellen dieses Beitrags: Wayback Machine

Querverweise — andere Meldungen der Rubrik aus demselben Zeitraum oder von derselben Quelle:

Mehr aus Die Schattenseiten der Entwicklung