Tim pengembang bahasa pemrograman Ruby merilis pembaruan versi 4.0.9, 3.4.12, dan 3.3.13 untuk mengatasi tiga kutu perangkat lunak pada Onigmo, mesin ekspresi reguler bawaan bahasa tersebut. Masalah pada pustaka ini menjadi akar dari empat celah keamanan berisiko tinggi yang ditambal oleh platform GitLab dalam kurun sebulan terakhir.
Pihak GitLab menemukan pola ekspresi reguler yang dirancang khusus mampu merusak alokasi memori saat Ruby mengompilasinya. Kerusakan tersebut berpotensi memicu eksekusi kode berbahaya jarak jauh pada server pengelola platform. Dalam keterangannya, Ruby menegaskan bahaya kerentanan tidak terbatas pada GitLab, melainkan membayangi semua aplikasi yang mengompilasi ekspresi reguler dari masukan teks kendalian penyerang.
Aplikasi Mana Saja yang Terdampak
Melalui lembar penasihat keamanannya, Ruby merinci aplikasi rentan jika memproses kompilasi ekspresi reguler dari string pihak luar. Situasi ini terjadi saat program meneruskan string berbahaya ke fungsi Regexp.new, Regexp.union, Regexp.compile, atau menyisipkannya ke pola lewat interpolasi variabel, seperti /#{input}/. Sebaliknya, aplikasi yang memakai pola statis rancangan pengembang internal dinyatakan aman.
Ruby menerapkan perbaikan pada rilis 4.0.9, 3.4.12, dan 3.3.13. Rilis 3.4.12 dan 3.3.13 merupakan versi pertama pada serinya yang mengintegrasikan ketiga perbaikan celah secara utuh. Versi 4.0.8 yang meluncur pekan sebelumnya belum mencakup tambalan CVE-2026-110264, sehingga pengguna lini 4.0 wajib memperbarui ke versi 4.0.9.
Seri Ruby 3.2 beserta pendahulunya tidak memperoleh pembaruan karena dukungan resmi telah berakhir pada 1 April 2026, ditutup versi 3.2.11. Pengguna disarankan bermigrasi ke versi 3.4 atau 4.0. Bagi yang belum bisa memperbarui versi, pengembang diminta berhenti mengompilasi ekspresi reguler dari masukan yang belum diverifikasi.
Dua langkah pertahanan terbukti tidak sanggup melindungi sistem. Menerapkan konfigurasi Regexp.timeout tidak memblokir serangan ini. Pembatasan panjang karakter pola teks juga tidak dapat diandalkan karena pola berukuran sangat pendek terbukti mampu memicu kerusakan memori.
Kronologi Masuknya Masalah ke Sistem GitLab
Platform GitLab rutin memproses ekspresi reguler kiriman pengguna, termasuk pola khusus dalam berkas konfigurasi CI/CD. Tim internal mendeteksi pola manipulatif merusak struktur memori saat kompilasi Ruby berlangsung, lalu merilis empat nomor CVE antara 23 September hingga 21 Oktober bersama paket distribusi Ruby yang diperbaiki.
Dua celah pertama diumumkan pada 23 September, memerlukan otentikasi akun pengguna dengan skor keparahan 9,9 dari 10. Dua celah berikutnya dipublikasikan pada Oktober, yaitu CVE-2026-97229 pada 12 Oktober dan CVE-2026-110264 pada 21 Oktober. Keduanya tidak menuntut hak akses akun pengguna dan memperoleh tingkat bahaya maksimal 10,0. Celah CVE-2026-110264 berdampak pada seluruh varian perangkat lunak GitLab mulai versi 7.0 ke atas.
Peneliti keamanan bernama joaxcar mengidentifikasi keempat kelemahan melalui program sayembara GitLab. Hingga 23 Oktober, belum satu pun dari keempat kerentanan terdaftar dalam katalog Eksploitasi Kerentanan yang Diketahui milik CISA.
Status Penomoran CVE dari Ruby
Pengelola Ruby memilih tidak mengajukan nomor identifikasi CVE independen untuk pembaruan mereka saat ini dan menganjurkan komunitas memantau keempat celah memakai penomoran CVE GitLab. Hal ini menimbulkan celah pemantauan bagi pengguna pemindai kerentanan berbasis CVE, karena entri GitLab hanya menunjuk GitLab sebagai produk terdampak sehingga pemindai paket Ruby tidak mendeteksi ancaman.
Sebelumnya, tim Ruby sempat menetapkan masalah serupa sebagai celah keamanan resmi dengan menerbitkan CVE pada perbaikan tahun 2022 dan 2024. Dokumentasi resmi Ruby hingga kini masih mengelompokkan risiko pola tidak tepercaya sebatas ancaman kelumpuhan layanan. Pengembang berjanji memperbarui buletin keamanan jika nantinya meminta alokasi kode CVE mandiri.
Panduan Pengelola Server GitLab
Instalasi GitLab mandiri memerlukan penerapan rilis penambal guna menangkal CVE-2026-110264, yang diluncurkan pada 21 Oktober dan disertakan surut hingga rilis 18.11.13. Layanan GitLab.com telah aman, sedangkan penyewa GitLab Dedicated pada rilis internal terbaru tidak membutuhkan tindakan manual. Karena GitLab menyertakan salinan paket Ruby sendiri, pembaruan ke versi perbaikan resmi langsung menuntaskan kelemahan. GitLab juga memublikasikan aturan deteksi untuk memantau indikasi penyusupan jaringan.
About the Author
