// AI 威胁新闻台 · 2026年10月29日
首页/CVE · 漏洞修补
漏洞修补严重RCECVSS 10.0 / 9.9

Ruby发布Onigmo修复GitLab远程代码执行漏洞

Ruby发布了三个版本，修复GitLab发现可能被用于在GitLab服务器上远程执行代码的Onigmo漏洞。这些版本包含所有修复。

· 阅读 2 分钟
AI 生成图像，非事件现场照片
AI 生成图像，非事件现场照片。
重点
  • Ruby发布4.0.9、3.4.12和3.3.13版本，修复多个Onigmo正则表达式引擎漏洞。
  • GitLab发现这些漏洞可用于在GitLab服务器上远程执行代码。
  • 只有当应用程序从攻击者控制的字符串编译正则表达式时，才会触发这些漏洞。

Ruby已发布4.0.9、3.4.12和3.3.13版本，修复其Onigmo正则表达式引擎中的漏洞。GitLab发现这些漏洞可用于在GitLab服务器上远程执行代码。

这些漏洞影响从攻击者控制的字符串编译正则表达式的应用程序。仅使用开发者编写的正则表达式的应用程序不受影响。

本文目录

Alpine Linux调查针对其GitLab服务器的漏洞利用尝试

Alpine Linux没有发现攻击成功的证据，但无法排除这种可能，因此从头重建了服务器并重置了每个账户的密码。

该账户在10月20日和21日向服务器发送特制的CI配置，导致GitLab工作进程崩溃8次。Alpine表示，在其中4次崩溃中，攻击者完成了部分漏洞利用，并在下一步失败。

攻击者还下载了Alpine的GitLab容器镜像。Alpine表示，这「表明他们正在针对我们的确切构建版本调试漏洞利用」。

GitLab升级未替换标准Ruby运行时

Alpine Linux表示，其GitLab镜像使用标准Ruby，因此在10月22日将服务器升级到GitLab 19.3.6并未修复该漏洞。使用Alpine自有Ruby的服务器也需要Ruby 3.3.13、3.4.12、4.0.9或更高版本。

Alpine于10月23日封禁了该账户。攻击者在10月25日和26日再次返回，但这些尝试失败了。

前两个GitLab漏洞需要已登录账户

The Hacker News表示，前两个GitLab漏洞于9月23日披露。两者都需要已登录账户，评分均为9.9分（满分10分）。

Ruby建议升级到4.0.9、3.4.12或3.3.13及更高版本。Ruby表示，无法升级的用户应避免从不可信输入编译正则表达式。

Alpine Linux完成了GitLab服务器的重建，使用Ruby 3.3.13或更高版本，并在调查漏洞利用尝试后替换了GitLab的密钥。

防守方现在要做什么

  1. 升级到Ruby 4.0.9、3.4.12或3.3.13及更高版本。
  2. 如果无法升级，请避免从不可信输入编译正则表达式。

常见问题

Ruby发布了什么来修复与GitLab相关的漏洞？

Ruby发布了4.0.9、3.4.12和3.3.13版本，用于修复Onigmo正则表达式引擎中的多个漏洞。

哪些对象受到Ruby Onigmo漏洞影响？

这些漏洞影响从攻击者控制的字符串编译正则表达式的应用程序。仅使用开发者编写的正则表达式的应用程序不受影响。

Ruby漏洞能够导致远程代码执行吗？

Ruby表示，GitLab发现这些漏洞可用于在GitLab服务器上远程执行代码。

Regexp.timeout能防护这些漏洞吗？

不能。Ruby表示，Regexp.timeout无法防护这些漏洞。

如何修复Ruby Onigmo漏洞？

Ruby建议升级到4.0.9、3.4.12或3.3.13及更高版本。如果无法升级，Ruby建议避免从不可信输入编译正则表达式。

事件期间是否有GitLab服务器成为攻击目标？

Alpine Linux表示，一个账户发送了特制CI配置，导致GitLab工作进程崩溃8次。该公司没有发现攻击成功的证据，但无法排除这种可能。

来源

  1. Regexp compilation fixes related to GitLab, Ruby原始文件
  2. Ruby Fixes Three Regex Engine Bugs Responsible for Four Critical GitLab RCE Flaws, The Hacker News
  3. Attacker Tried to Exploit Alpine Linux’s GitLab via CVSS 10.0 Flaw Its Ruby Left Open, The Hacker News
  4. GitLab, Wikipedia
我们如何核实这篇报道
内容来源状态
Ruby发布4.0.9、3.4.12和3.3.13版本，修复多个Onigmo正则表达式引擎漏洞。Ruby已证实
Ruby表示，GitLab发现这些漏洞可用于在GitLab服务器上远程执行代码。Ruby已证实
这些漏洞影响从攻击者控制的字符串编译正则表达式的应用程序。Ruby已证实
仅使用开发者编写的正则表达式的应用程序不受影响。Ruby已证实
Ruby 4.0.9、3.4.12和3.3.13包含全部四项修复。Ruby已证实
Alpine表示没有发现攻击成功的证据，但无法排除这种可能，因此重建了服务器并重置了每个账户的密码。Alpine Linux, via The Hacker News引述
Alpine的GitLab镜像使用标准Ruby，因此在10月22日升级到GitLab 19.3.6并未修复该漏洞。Alpine Linux, via The Hacker News引述
Alpine Linux表示，使用其自有Ruby的服务器也需要Ruby 3.3.13、3.4.12、4.0.9或更高版本。Alpine Linux, via The Hacker News引述
Alpine Linux表示，攻击者在10月20日和21日发送特制CI配置，导致GitLab工作进程崩溃8次。Alpine Linux, via The Hacker News引述
Alpine Linux表示，在4次崩溃中，攻击者完成了部分漏洞利用，并在下一步失败。Alpine Linux, via The Hacker News引述
攻击者下载了Alpine的GitLab容器镜像，Alpine表示这表明攻击者在针对其确切构建版本调试漏洞利用。Alpine Linux, via The Hacker News引述
Alpine于10月23日封禁了该账户，10月25日和26日的后续尝试失败。Alpine Linux, via The Hacker News引述
Alpine于10月28日完成服务器重建，并使用Ruby 3.3.13或更高版本运行该服务器。Alpine Linux, via The Hacker News引述
Ruby的Regexp.timeout设置无法防护这些漏洞。Ruby已证实
GitLab是主要由GitLab Inc.开发的软件托管平台。Wikipedia已证实
The Hacker News表示，前两个GitLab漏洞于9月23日披露，二者都需要已登录账户，评分均为9.9分（满分10分）。The Hacker News引述

未能核实

  • 无法确定攻击者是否成功执行代码。
  • 无法确定是否有任何Alpine用户数据被访问。
  • 无法确定有多少GitLab服务器受到影响。
cve
查看全部 漏洞修补 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok