「GitLab」の悪用脆弱性、原因は「Ruby」 - 修正版が公開

これら脆弱性は、「GitLab」の脆弱性として周知されており、米国立標準技術研究所（NIST）による脆弱性データベース「NVD」などにも収録されている。

しかしながら、影響は「GitLab」に限らず、「Ruby」を利用し、外部から指定された信頼できない文字列をもとに正規表現をコンパイルした場合、問題が生じるおそれがある。開発者が用意した正規表現のみを使用するアプリケーションは影響を受けない。

Ruby開発チームは、「Ruby 4.0.9」「同3.4.12」「同3.3.13」でこれら脆弱性を修正し、アップデートを呼びかけている。「Ruby 4.0」系では一部の不具合について以前のバージョンで修正していたが、今回のアップデートで4件すべてに対処した。

「Ruby」の開発チームは、信頼されていない入力から作成された正規表現をコンパイルして使用することは、一般的に安全ではないと指摘。

今回の修正にあたり、「Ruby」に関する脆弱性として識別するためのCVE番号は要求しておらず、脆弱性として扱うか今後議論していくという。

（Security NEXT - 2026/10/30 ）ツイート