- Ruby發布4.0.9、3.4.12及3.3.13版本，修補多個Onigmo正則表達式引擎漏洞。
- GitLab發現漏洞可被用於在GitLab伺服器上遠程執行程式碼。
- 只有當應用程式從攻擊者控制的字串編譯正則表達式時，漏洞才會被觸發。
Ruby已發布4.0.9、3.4.12及3.3.13版本，修補其Onigmo正則表達式引擎的漏洞；GitLab發現漏洞可被用於在GitLab伺服器上遠程執行程式碼。
漏洞影響從攻擊者控制的字串編譯正則表達式的應用程式。只使用由開發人員編寫的正則表達式的應用程式不受影響。
Alpine Linux調查針對其GitLab伺服器的攻擊活動
Alpine Linux沒有發現攻擊成功的證據，但無法排除這種可能，因此從頭重建伺服器，並重設每個帳戶的密碼。
該帳戶於10月20日及21日向伺服器發送特製CI設定，令GitLab工作程序崩潰8次。Alpine表示，在其中4次崩潰中，攻擊者已完成部分漏洞利用程序，但在下一步失敗。
攻擊者亦下載Alpine的GitLab容器映像檔；Alpine表示，這「顯示他們正調整漏洞利用程序，以配合我們的確切構建版本」。
GitLab升級未取代標準Ruby運行環境
Alpine Linux表示，其GitLab映像檔使用標準Ruby，因此於10月22日將伺服器升級至GitLab 19.3.6並未修補漏洞。使用Alpine自家Ruby的伺服器亦需要Ruby 3.3.13、3.4.12、4.0.9或其後版本。
Alpine於10月23日封鎖該帳戶。攻擊者於10月25日及26日再次嘗試，但均告失敗。
首兩項GitLab漏洞需要已登入帳戶
The Hacker News表示，首兩項GitLab漏洞於9月23日披露。每項漏洞均需要已登入帳戶，評分為10分中的9.9分。
Ruby建議升級至4.0.9、3.4.12或3.3.13或其後版本。Ruby表示，無法升級的用戶應避免從不受信任的輸入編譯正則表達式。
Alpine Linux完成以Ruby 3.3.13或其後版本重建其GitLab伺服器，並在調查攻擊活動後更換GitLab的秘密金鑰。
防守方現在要做甚麼
- 升級至Ruby 4.0.9、3.4.12或3.3.13或其後版本。
- 如無法升級，避免從不受信任的輸入編譯正則表達式。
常見問題
Ruby發布了甚麼以修補與GitLab有關的漏洞？
Ruby發布4.0.9、3.4.12及3.3.13版本，修補Onigmo正則表達式引擎的多個漏洞。
哪些用戶受Ruby Onigmo漏洞影響？
漏洞影響從攻擊者控制的字串編譯正則表達式的應用程式。只使用由開發人員編寫的正則表達式的應用程式不受影響。
Ruby漏洞可否導致遠程執行程式碼？
Ruby表示，GitLab發現漏洞可被用於在GitLab伺服器上遠程執行程式碼。
Regexp.timeout可否防護這些漏洞？
不可以。Ruby表示，Regexp.timeout無法防護這些漏洞。
如何修補Ruby Onigmo漏洞？
Ruby建議升級至4.0.9、3.4.12或3.3.13或其後版本。如無法升級，Ruby建議避免從不受信任的輸入編譯正則表達式。
事件期間是否有GitLab伺服器受到攻擊？
Alpine Linux表示，一個帳戶發送特製CI設定，令GitLab工作程序崩潰8次。該公司沒有發現攻擊成功的證據，但無法排除這種可能。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Ruby發布4.0.9、3.4.12及3.3.13版本，修補多個Onigmo正則表達式引擎漏洞。 | Ruby | 已證實 |
| Ruby表示，GitLab發現漏洞可被用於在GitLab伺服器上遠程執行程式碼。 | Ruby | 已證實 |
| 漏洞影響從攻擊者控制的字串編譯正則表達式的應用程式。 | Ruby | 已證實 |
| 只使用由開發人員編寫的正則表達式的應用程式不受影響。 | Ruby | 已證實 |
| Ruby 4.0.9、3.4.12及3.3.13包含全部四項修補。 | Ruby | 已證實 |
| Alpine沒有發現攻擊成功的證據，但無法排除這種可能，因此重建伺服器並重設每個帳戶的密碼。 | Alpine Linux, via The Hacker News | 引述 |
| Alpine的GitLab映像檔使用標準Ruby，因此於10月22日升級至GitLab 19.3.6並未修補漏洞。 | Alpine Linux, via The Hacker News | 引述 |
| Alpine Linux表示，使用其自家Ruby的伺服器亦需要Ruby 3.3.13、3.4.12、4.0.9或其後版本。 | Alpine Linux, via The Hacker News | 引述 |
| Alpine Linux表示，攻擊者於10月20日及21日發送特製CI設定，令GitLab工作程序崩潰8次。 | Alpine Linux, via The Hacker News | 引述 |
| Alpine Linux表示，在4次崩潰中，攻擊者已完成部分漏洞利用程序，但在下一步失敗。 | Alpine Linux, via The Hacker News | 引述 |
| 攻擊者下載Alpine的GitLab容器映像檔；Alpine表示，這顯示攻擊者正調整漏洞利用程序，以配合其確切構建版本。 | Alpine Linux, via The Hacker News | 引述 |
| Alpine於10月23日封鎖該帳戶，而10月25日及26日的後續嘗試均告失敗。 | Alpine Linux, via The Hacker News | 引述 |
| Alpine於10月28日完成重建伺服器，並以Ruby 3.3.13或其後版本運行。 | Alpine Linux, via The Hacker News | 引述 |
| Ruby的Regexp.timeout設定無法防護這些漏洞。 | Ruby | 已證實 |
| GitLab是主要由GitLab Inc.開發的軟件代碼託管平台。 | Wikipedia | 已證實 |
| The Hacker News表示，首兩項GitLab漏洞於9月23日披露，每項均需要已登入帳戶，評分為10分中的9.9分。 | The Hacker News | 引述 |
未能核實
- 攻擊者是否成功執行程式碼，尚未確定。
- Alpine任何用戶數據是否被存取，尚未確定。
- 受影響的GitLab伺服器數目，尚未確定。
