ruby-lang.orgの告知によると、GitLabは正規表現エンジンOnigmoのコンパイル処理に起因する脆弱性としてCVE-2026-89078、CVE-2026-93577、CVE-2026-97229、CVE-2026-110264を公開しており、細工したパターンをコンパイルさせることでメモリを破壊できる。原因はパーサのダブルフリー、コンパイル後のパターンサイズの整数オーバーフロー、繰り返しの内部IDのオーバーフローで、今回のRubyリリースはこれらをすべて修正する。影響を受けるのは、攻撃者が制御できる文字列をRegexp.new、Regexp.union、Regexp.compileに渡したり、/#{input}/のように正規表現リテラルへ埋め込んだりするアプリケーションに限られる。開発者が書いた正規表現だけを使うアプリは対象外。Regexp.timeoutでは防げないとしている。4.0.8の修正は不十分なため、4.0系は4.0.9以降が必要。3.3.13ではresolv 0.3.2も同梱し、CVE-2026-80212とCVE-2026-80213を修正した。Ruby自体としてのCVE採番は行っていない。
Ruby 4.0.9・3.4.12・3.3.13を公開 GitLabのCVSS 10脆弱性の原因となったOnigmoの正規表現コンパイル不具合を修正
## POINTS
- GitLabのCVE 4件の原因となったOnigmoのダブルフリーと整数オーバーフローを修正
- 外部入力から正規表現をコンパイルするアプリが対象、Regexp.timeoutでは防げない
- 4.0.8は修正が不完全なため4.0.9以降へ、3.3.13ではresolvの脆弱性も修正