---
title: Kritiska sårbarheter i Rubys regex-motor påverkar GitLab
url: https://www.dataloco.com/sv/kritiska-sarbarheter-i-rubys-regex-motor-paverkar-gitlab
published: 2026-11-02T08:27:21+00:00
language: sv
section: Säkerhet
source: https://www.heise.de/news/Ruby-behebt-drei-kritische-Luecken-vor-denen-CVE-Scanner-nicht-warnen-11505663.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag
organizations: GitLab, Ruby
publisher: Dataloco
---

# Kritiska sårbarheter i Rubys regex-motor påverkar GitLab

Ruby-teamet har släppt versionerna 4.0.9, 3.4.12 och 3.3.13 för att åtgärda tre fel i regex-motorn Onigmo. Dessa fel kan möjliggöra exekvering av skadlig kod på drabbade servrar.

Sårbarheterna påverkar alla Ruby-applikationer som skapar reguljära uttryck baserat på extern indata. Enligt Ruby-teamet behöver användare som endast använder egna mönster inte oroa sig. Felen uppstår under kompileringen, när Ruby översätter ett mönster till ett internt program, snarare än under själva matchningen.

GitLab är ett framträdande exempel på en drabbad tjänst eftersom den kompilerar reguljära uttryck från användarindata, exempelvis i konfigurationer för CI/CD. Säkerhetsforskaren Johan Carlsson rapporterade fyra sårbarheter via ett program för buggbounties: CVE-2026-89078 och CVE-2026-93577 med ett CVSS-värde på 9,9, samt CVE-2026-97229 och CVE-2026-110264 med det högsta värdet 10,0. De två senare kan utnyttjas utan inloggning. GitLab åtgärdade dessa mellan den 23 september och 21 oktober genom att patcha den medföljande Ruby-versionen. Den senaste uppdateringen omfattar alla GitLab-versioner sedan version 7.0 från 2014.

Ruby-teamet kopplar de fyra CVE-numren till tre specifika fel. CVE-2026-89078 beror på en dubbel frigöring av minne vid inläsning av ett mönster. CVE-2026-93577 och CVE-2026-97229 orsakas av ett heltalstapp vid beräkning av det kompilerade programmets storlek. CVE-2026-110264 beror på ett överflöde i interna räknare vid mönster med mycket många upprepningar.

Ingen av rättningarna är ny. Den dubbla minnesfrigöringen korrigerades i utvecklingsgrenen i maj 2025 och finns i release-versioner sedan Ruby 4.0.0. Rättningen för räknarna i CVE-2026-110264 kom i april 2026, och rättningen för programstorleken i september 2026. Dessa nådde release-versioner först nu. Ruby 4.0.8 från den 22 oktober innehöll rättningen för programstorleken som en del av en rutinuppdatering utan säkerhetsinformation. Dagen efter släpptes 4.0.9 med den sista rättningen, och de stabila grenarna 3.4 och 3.3 fick alla tre rättningarna samtidigt. Ruby 3.3 fick uppdateringen som ett undantag eftersom GitLab tilldelat CVE-nummer. Version 3.2 och äldre får inga uppdateringar.

I värsta fall kan en angripare köra kod med samma rättigheter som Ruby-processen, vilket ger åtkomst till databaser, hemligheter i miljön och filsystemet. Det är dock mer sannolikt att processen kraschar, vilket kan leda till en överbelastningsattack utan inloggning. Varken GitLab eller Ruby har rapporterat om aktiva attacker.

Ruby-dokumentationen har tidigare rekommenderat tidsgränser för externa mönster, men Regexp.timeout avbryter endast matchningen och inte kompileringen där felen uppstår. Att begränsa mönsterlängden är inte heller tillförlitligt eftersom vissa fel kan utlösas av korta mönster. Ruby-projektet har hittills inte ansökt om egna CVE-identifierare då man ansett att kompilering av externa mönster är osäkert och att sårbarheten ligger i applikationen snarare än i tolken.

## This story in other languages

- [English](https://www.dataloco.com/en/ruby-fixes-three-critical-flaws-linked-to-gitlab-vulnerabilities)
- [한국어](https://www.dataloco.com/ko/ruby-gitlab)
- [Indonesia](https://www.dataloco.com/id/kesalahan-mesin-regex-ruby-sebabkan-celah-keamanan-kritis-pada-gitlab)
- [Русский](https://www.dataloco.com/ru/kriticeskie-uiazvimosti-gitlab-vyzvany-osibkami-v-dvizke-reguliarnyx-vyrazenii-ruby)
- [العربية](https://www.dataloco.com/ar/akhtaaa-fy-mhrk-altaabyrat-alnmty-lgh-ruby-tsbb-thghrat-amny-hrg-fy-gitlab)
- [עברית](https://www.dataloco.com/he/ruby-gitlab)
- [हिन्दी](https://www.dataloco.com/hi/ruby-na-apana-ragalra-ekasaparashana-ijana-ma-tana-gabhara-khamaya-ka-sathhara)
- [Español](https://www.dataloco.com/es/errores-en-el-motor-de-expresiones-regulares-de-ruby-causan-vulnerabilidades-criticas-en-gitlab)
- [Français](https://www.dataloco.com/fr/des-moteur-de-expressions-regulieres-de-ruby-sont-a-lorigine-de-failles-critiques-chez-gitlab)
- [Italiano](https://www.dataloco.com/it/errori-nel-motore-regex-di-ruby-causano-vulnerabilita-critiche-in-gitlab)
- [Norsk](https://www.dataloco.com/no/kritiske-sarbarheter-i-ruby-pavirker-gitlab)
- [Polski](https://www.dataloco.com/pl/bledy-w-silniku-wyrazen-regularnych-ruby-spowodowaly-krytyczne-luki-w-gitlab)