GitLab stopft eine CVSS-10,0-Lücke in der mitgelieferten Regex-Engine Onigmo — Code-Ausführung vor dem Login auf jeder Version seit 7.0 aus dem Jahr 2014, sieben Fixes auf einen Schlag — CVE-2026-110264 entsteht als Integer-Überlauf beim Kompilieren eines speziell geformten regulären Ausdrucks in Onigmo, der Ruby-Regex-Maschine, die GitLab in jedem Paket mitliefert und in eigenen Builds selbst gepatcht: unter bestimmten Bedingungen kann ein unangemeldeter Angreifer beliebigen Code auf der self-managed-Instanz ausführen; betroffen ist jede Community- und Enterprise-Version ab 7.0 (2014), gefixt am 21. Oktober in 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 und 19.5.1 — out-of-band, das Advisory nennt keinen Übergangs-Workaround, nur das Upgrade hilft; GitLab.com und Dedicated-Kunden laufen bereits auf gefixten Builds, handeln muss nur, wer selbst betreibt; dazu veröffentlichte GitLab zwei Detection-Regeln (“Onigmo native worker crash”, “Org mode render error burst”), die Exploit-Versuche sichtbar machen sollen, ohne dass ein Missbrauch belegt wäre. GitLab-Release · The Hacker News · 🗃 Wayback Machine (Archiv)
Die Inhalte dieses Artikels wurden automatisiert mittels Künstlicher Intelligenz generiert. Die zugrundeliegenden Daten stammen von docs.gitlab.com. Es erfolgte keine manuelle redaktionelle Bearbeitung.
