---
title: שגיאות במנוע הביטויים הרגולריים של Ruby גרמו לפרצות אבטחה קריטיות ב-GitLab
url: https://www.dataloco.com/he/ruby-gitlab
published: 2026-11-02T07:25:02+00:00
language: he
section: אבטחה
source: https://www.heise.de/news/Ruby-behebt-drei-kritische-Luecken-vor-denen-CVE-Scanner-nicht-warnen-11505663.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag
organizations: GitLab, Ruby
publisher: Dataloco
---

# שגיאות במנוע הביטויים הרגולריים של Ruby גרמו לפרצות אבטחה קריטיות ב-GitLab

צוות Ruby שחרר את הגרסאות 4.0.9, 3.4.12 ו-3.3.13 כדי לתקן שלוש שגיאות במנוע הביטויים הרגולריים Onigmo. שגיאות אלו עלולות לאפשר הרצה של קוד זדוני על שרתים המושפעים מהן.

המקרה הבולט ביותר של פרצות אלו הופיע ב-GitLab, שמתבססת על Ruby. הפרצות משפיעות על כל אפליקציית Ruby היוצרת ביטויים רגולריים מקלטים חיצוניים. לפי צוות Ruby, משתמשים המשתמשים בתבניות שכתבו בעצמם אינם צריכים לחשוש. השגיאות מתרחשות בשלב ההידור, שבו Ruby מתרגמת את התבנית לתוכנית פנימית, ולא בשלב ההשוואה עצמו.

ב-GitLab, השירות מהדר ביטויים רגולריים מקלטי משתמשים, למשל מהגדרות CI/CD. חוקר אבטחה דיווח על ארבע פרצות: CVE-2026-89078 ו-CVE-2026-93577 עם דירוג CVSS של 9.9, וכן CVE-2026-97229 ו-CVE-2026-110264 עם הדירוג המקסימלי של 10.0. שתי האחרונות ניתנות לניצול ללא הרשמה. GitLab סגרה את הפרצות בין 23 בספטמבר ל-21 באוקטובר על ידי תיקון של גרסת Ruby המצורפת אליה. העדכון האחרון נוגע לכל גרסאות GitLab מאז גרסה 7.0 משנת 2014.

צוות Ruby שייך את ארבע הפרצות לשלוש שגיאות: CVE-2026-89078 נובעת משחרור כפול של זיכרון בעת קריאת תבנית. CVE-2026-93577 ו-CVE-2026-97229 נובעות מגלישת מספר שלם בחישוב גודל התוכנית המהודרת. CVE-2026-110264 נובעת מגלישה של מונים פנימיים בתבניות עם חזרות רבות מאוד.

התיקונים אינם חדשים: שחרור הזיכרון הכפול תוקן במאי 2025 בענף הפיתוח והופיע בגרסה 4.0.0. התיקון למונים הופיע באפריל 2026, והתיקון לגודל התוכנית בספטמבר 2026. גרסה 4.0.8 מה-22 באוקטובר כללה את תיקון גודל התוכנית כחלק מעדכון שגרתי ללא אזכור של אבטחה. יום לאחר מכן שוחררה גרסה 4.0.9 עם התיקון האחרון, והענפים היציבים 3.4 ו-3.3 קיבלו את שלושת התיקונים יחד. גרסה 3.3 קיבלה עדכון חריג רק בגלל שהוקצו לה מזהי CVE על ידי GitLab. עבור גרסה 3.2 ומטה לא יסופקו עדכונים.

במקרה הגרוע ביותר, תוקף יכול להריץ קוד עם הרשאות תהליך ה-Ruby, כולל גישה למסדי נתונים, סודות מהסביבה ומערכת הקבצים. סביר יותר שניסיון בודד יוביל לקריסת התהליך, מה שמאפשר ביצוע מתקפת מניעת שירות ללא הרשמה. נכון לעכשיו, לא דווח על התקפות פעילות על ידי GitLab או Ruby.

הגבלת זמן, כגון Regexp.timeout, אינה עוזרת כיוון שהיא עוצרת רק השוואה ארוכה מדי, בעוד השגיאות קורות לפני כן, בשלב ההידור. גם הגבלת אורך התבנית אינה פתרון אמין, שכן חלק מהשגיאות נגרמות גם מתבניות קצרות. צוות Ruby ממליץ לא להדר ביטויים רגולריים מקלטים חיצוניים למי שאינו יכול לעדכן מיד.

## This story in other languages

- [English](https://www.dataloco.com/en/ruby-fixes-three-critical-flaws-linked-to-gitlab-vulnerabilities)
- [한국어](https://www.dataloco.com/ko/ruby-gitlab)
- [Indonesia](https://www.dataloco.com/id/kesalahan-mesin-regex-ruby-sebabkan-celah-keamanan-kritis-pada-gitlab)
- [Русский](https://www.dataloco.com/ru/kriticeskie-uiazvimosti-gitlab-vyzvany-osibkami-v-dvizke-reguliarnyx-vyrazenii-ruby)
- [العربية](https://www.dataloco.com/ar/akhtaaa-fy-mhrk-altaabyrat-alnmty-lgh-ruby-tsbb-thghrat-amny-hrg-fy-gitlab)
- [हिन्दी](https://www.dataloco.com/hi/ruby-na-apana-ragalra-ekasaparashana-ijana-ma-tana-gabhara-khamaya-ka-sathhara)
- [Español](https://www.dataloco.com/es/errores-en-el-motor-de-expresiones-regulares-de-ruby-causan-vulnerabilidades-criticas-en-gitlab)
- [Français](https://www.dataloco.com/fr/des-moteur-de-expressions-regulieres-de-ruby-sont-a-lorigine-de-failles-critiques-chez-gitlab)
- [Italiano](https://www.dataloco.com/it/errori-nel-motore-regex-di-ruby-causano-vulnerabilita-critiche-in-gitlab)
- [Svenska](https://www.dataloco.com/sv/kritiska-sarbarheter-i-rubys-regex-motor-paverkar-gitlab)
- [Norsk](https://www.dataloco.com/no/kritiske-sarbarheter-i-ruby-pavirker-gitlab)
- [Polski](https://www.dataloco.com/pl/bledy-w-silniku-wyrazen-regularnych-ruby-spowodowaly-krytyczne-luki-w-gitlab)