--- title: Errori nel motore Regex di Ruby causano vulnerabilità critiche in GitLab url: https://www.dataloco.com/it/errori-nel-motore-regex-di-ruby-causano-vulnerabilita-critiche-in-gitlab published: 2026-11-02T08:25:43+00:00 language: it section: Sicurezza source: https://www.heise.de/news/Ruby-behebt-drei-kritische-Luecken-vor-denen-CVE-Scanner-nicht-warnen-11505663.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag organizations: GitLab, Ruby publisher: Dataloco --- # Errori nel motore Regex di Ruby causano vulnerabilità critiche in GitLab Il team di Ruby ha rilasciato le versioni 4.0.9, 3.4.12 e 3.3.13 per correggere tre errori nel motore di espressioni regolari Onigmo. Tali difetti possono consentire l'esecuzione di codice dannoso sui server interessati. Il caso più rilevante riguarda GitLab, un servizio basato su Ruby che compila espressioni regolari a partire da input degli utenti, come nelle configurazioni CI/CD. Tuttavia, ogni applicazione Ruby che genera espressioni regolari da input esterni è vulnerabile. Gli utenti che utilizzano esclusivamente modelli scritti internamente non sono a rischio, poiché gli errori si verificano durante la fase di compilazione del modello in un programma interno, e non durante il confronto con il testo. Il ricercatore di sicurezza Johan Carlsson ha segnalato quattro vulnerabilità in GitLab tramite un programma di bug bounty. Le falle CVE-2026-89078 e CVE-2026-93577 hanno un valore CVSS di 9,9, mentre CVE-2026-97229 e CVE-2026-110264 hanno raggiunto il punteggio massimo di 10,0. Entrambe queste ultime possono essere sfruttate senza autenticazione. GitLab ha risolto i problemi tra il 23 settembre e il 21 ottobre applicando patch a Ruby. L'ultimo aggiornamento riguarda tutte le versioni di GitLab a partire dalla 7.0 del 2014. Il team di Ruby ha associato le quattro vulnerabilità a tre errori specifici. La CVE-2026-89078 è causata da un doppio rilascio di memoria durante la lettura di un modello. La CVE-2026-93577 e la CVE-2026-97229 derivano da un overflow di interi nel calcolo della dimensione del programma compilato. Infine, la CVE-2026-110264 è legata a un overflow dei contatori interni in modelli con moltissime ripetizioni. Le correzioni non sono recenti: il problema del doppio rilascio di memoria era stato risolto nel ramo di sviluppo a maggio 2025 e inserito in Ruby 4.0.0. La correzione per i contatori è arrivata ad aprile 2026, mentre quella per la dimensione del programma a settembre 2026. Queste ultime sono entrate nelle versioni di rilascio solo recentemente. Ruby 4.0.8 ha introdotto il fix per la dimensione del programma il 22 ottobre come aggiornamento di routine, senza menzionare la sicurezza. Il giorno seguente è stata rilasciata la versione 4.0.9 con l'ultimo fix, mentre i rami stabili 3.4 e 3.3 hanno ricevuto tutte e tre le correzioni contemporaneamente. Ruby 3.3 ha ricevuto l'aggiornamento 3.3.13 come eccezione a causa delle CVE di GitLab, mentre per Ruby 3.2 e versioni precedenti non sono previsti aggiornamenti. In caso di sfruttamento, un utente malintenzionato potrebbe eseguire codice con i permessi del processo Ruby, accedendo a database, segreti ambientali e sistema di file. È più probabile che un singolo tentativo causi il crash del processo, portando a un Denial of Service senza autenticazione. Né GitLab né Ruby hanno segnalato attacchi attivi. Il team di Ruby ha precisato che l'uso di timeout o la limitazione della lunghezza dei modelli non sono soluzioni affidabili, poiché gli errori avvengono prima del confronto, durante la compilazione. Il progetto Ruby non ha richiesto identificativi CVE propri, sostenendo che la compilazione di modelli esterni sia intrinsecamente insicura e che la vulnerabilità risieda nell'applicazione e non nell'interprete. ## This story in other languages - [English](https://www.dataloco.com/en/ruby-fixes-three-critical-flaws-linked-to-gitlab-vulnerabilities) - [한국어](https://www.dataloco.com/ko/ruby-gitlab) - [Indonesia](https://www.dataloco.com/id/kesalahan-mesin-regex-ruby-sebabkan-celah-keamanan-kritis-pada-gitlab) - [Русский](https://www.dataloco.com/ru/kriticeskie-uiazvimosti-gitlab-vyzvany-osibkami-v-dvizke-reguliarnyx-vyrazenii-ruby) - [العربية](https://www.dataloco.com/ar/akhtaaa-fy-mhrk-altaabyrat-alnmty-lgh-ruby-tsbb-thghrat-amny-hrg-fy-gitlab) - [עברית](https://www.dataloco.com/he/ruby-gitlab) - [हिन्दी](https://www.dataloco.com/hi/ruby-na-apana-ragalra-ekasaparashana-ijana-ma-tana-gabhara-khamaya-ka-sathhara) - [Español](https://www.dataloco.com/es/errores-en-el-motor-de-expresiones-regulares-de-ruby-causan-vulnerabilidades-criticas-en-gitlab) - [Français](https://www.dataloco.com/fr/des-moteur-de-expressions-regulieres-de-ruby-sont-a-lorigine-de-failles-critiques-chez-gitlab) - [Svenska](https://www.dataloco.com/sv/kritiska-sarbarheter-i-rubys-regex-motor-paverkar-gitlab) - [Norsk](https://www.dataloco.com/no/kritiske-sarbarheter-i-ruby-pavirker-gitlab) - [Polski](https://www.dataloco.com/pl/bledy-w-silniku-wyrazen-regularnych-ruby-spowodowaly-krytyczne-luki-w-gitlab)