1 artículo con esta etiqueta
El 21 de octubre de 2026, GitLab publicó las versiones de parche crítico 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13 para Community Edition (CE) y Enterprise Edition (EE). La falla más grave, CVE-2026-110264 (CVSS 10.0), es un desbordamiento de entero al compilar una expresión regular especialmente diseñada que, bajo ciertas condiciones, podría permitir a un usuario no autenticado ejecutar código arbitrario en el servidor de GitLab. Casi todas las versiones desde la 7.0 están afectadas. GitLab.com ya está parcheado; las instalaciones autogestionadas deben actualizarse. La misma versión corrige dos fallas de gravedad alta (CVSS 8.2 y 7.5) y otras, pero esas correcciones solo llegan en las líneas 19.3.6, 19.4.3 y 19.5.1. La causa raíz está en el motor de expresiones regulares de Ruby (Onigmo), y Ruby publicó 4.0.9, 3.4.12 y 3.3.13 el 23 de octubre. Las aplicaciones que compilan una regexp a partir de cadenas controladas por un atacante están afectadas, y Regexp.timeout no protege contra estos fallos. No se ha informado de explotación y la falla no figura en el catálogo KEV de CISA a fecha del 25 de octubre. Conclusión de este sitio: actualice hoy el GitLab autogestionado tras revisar las paradas obligatorias de actualización, y termine en la 19.3.6 o posterior. Las aplicaciones Ruby deben pasar a un Ruby corregido y dejar de construir regexps a partir de la entrada del usuario.