---
title: Kritiske sårbarheter i Ruby påvirker GitLab
url: https://www.dataloco.com/no/kritiske-sarbarheter-i-ruby-pavirker-gitlab
published: 2026-11-02T08:28:05+00:00
language: no
section: Sikkerhet
source: https://www.heise.de/news/Ruby-behebt-drei-kritische-Luecken-vor-denen-CVE-Scanner-nicht-warnen-11505663.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag
organizations: GitLab, Ruby
publisher: Dataloco
---

# Kritiske sårbarheter i Ruby påvirker GitLab

Ruby-teamet har utgitt versjonene 4.0.9, 3.4.12 og 3.3.13 for å rette tre feil i Onigmo-motoren for regulære uttrykk. Disse feilene kan føre til at skadelig kode blir kjørt på berørte servere.

Sårbarhetene rammer alle Ruby-applikasjoner som genererer regulære uttrykk basert på eksterne inndata. GitLab er det mest fremtredende eksempelet, da tjenesten kompilerer regulære uttrykk fra brukerinndata, for eksempel fra konfigurasjoner for kontinuerlig integrasjon og kontinuerlig levering. Brukere som kun benytter egne mønstre, er ikke berørt.

Sikkerhetsforsker Johan Carlsson rapporterte fire sårbarheter i GitLab gjennom et program for belønning av feil. To av disse, CVE-2026-89078 og CVE-2026-93577, har en CVSS-verdi på 9,9. De to andre, CVE-2026-97229 og CVE-2026-110264, har maksimalverdien 10,0 og kan utnyttes uten pålogging. GitLab lukket disse hullene mellom 23. september og 21. oktober ved å patche den medfølgende Ruby-versjonen. Oppdateringen gjelder alle GitLab-versjoner siden versjon 7.0 fra 2014.

Ruby-teamet knytter de fire sårbarhetene til tre spesifikke feil. CVE-2026-89078 skyldes en dobbel frigjøring av minne ved innlesing av et mønster. CVE-2026-93577 og CVE-2026-97229 skyldes en heltallsflyt ved beregning av størrelsen på det kompilerte programmet. CVE-2026-110264 skyldes en flyt i interne tellere ved mønstre med svært mange repetisjoner.

Feilene oppstår under kompileringen av mønsteret til et internt program, før selve sammenligningen med teksten skjer. Dette betyr at tidsavbrudd, som Regexp.timeout, ikke fungerer som beskyttelse, og begrensning av mønsterlengde er heller ikke pålitelig. I verste fall kan en angriper kjøre kode med rettighetene til Ruby-prosessen, noe som gir tilgang til databaser, miljøhemmeligheter og filsystemet. Det er imidlertid mer sannsynlig at prosessen krasjer, noe som kan føre til tjenestenekt uten pålogging. Det er foreløpig ikke rapportert om aktive angrep fra hverken GitLab eller Ruby.

Ruby-prosjektet har ikke søkt om egne CVE-identifikatorer for disse feilene. Teamet har ansett kompilering av eksterne mønstre som usikkert, og mener derfor at sårbarheten ligger i applikasjonen snarere enn i tolkeren. De planlegger nå å avklare om dette bruksområdet støttes før de tar en beslutning om bruk av CVE-identifikatorer.

## This story in other languages

- [English](https://www.dataloco.com/en/ruby-fixes-three-critical-flaws-linked-to-gitlab-vulnerabilities)
- [한국어](https://www.dataloco.com/ko/ruby-gitlab)
- [Indonesia](https://www.dataloco.com/id/kesalahan-mesin-regex-ruby-sebabkan-celah-keamanan-kritis-pada-gitlab)
- [Русский](https://www.dataloco.com/ru/kriticeskie-uiazvimosti-gitlab-vyzvany-osibkami-v-dvizke-reguliarnyx-vyrazenii-ruby)
- [العربية](https://www.dataloco.com/ar/akhtaaa-fy-mhrk-altaabyrat-alnmty-lgh-ruby-tsbb-thghrat-amny-hrg-fy-gitlab)
- [עברית](https://www.dataloco.com/he/ruby-gitlab)
- [हिन्दी](https://www.dataloco.com/hi/ruby-na-apana-ragalra-ekasaparashana-ijana-ma-tana-gabhara-khamaya-ka-sathhara)
- [Español](https://www.dataloco.com/es/errores-en-el-motor-de-expresiones-regulares-de-ruby-causan-vulnerabilidades-criticas-en-gitlab)
- [Français](https://www.dataloco.com/fr/des-moteur-de-expressions-regulieres-de-ruby-sont-a-lorigine-de-failles-critiques-chez-gitlab)
- [Italiano](https://www.dataloco.com/it/errori-nel-motore-regex-di-ruby-causano-vulnerabilita-critiche-in-gitlab)
- [Svenska](https://www.dataloco.com/sv/kritiska-sarbarheter-i-rubys-regex-motor-paverkar-gitlab)
- [Polski](https://www.dataloco.com/pl/bledy-w-silniku-wyrazen-regularnych-ruby-spowodowaly-krytyczne-luki-w-gitlab)