par 
Ruby a publié rapidement les versions 4.0.9, 3.4.12 et 3.3.13 pour corriger d’importants défauts de sécurité.
Contexte et enjeux
Les trois bugs, situés dans le moteur d’expressions régulières Onigmo intégré à Ruby, permettaient à un attaquant de fournir un motif spécialement conçu afin de corrompre la mémoire lors de la compilation. Cette faille a été exploitée par GitLab, qui a dû publier quatre correctifs RCE critiques au cours du mois dernier pour protéger ses serveurs.
Il s’agit d’une faille de sécurité majeure, car le moteur Onigmo est utilisé pour évaluer des expressions régulières dans Ruby, ce qui signifie que les attaques pouvaient se propager à l’intérieur même du langage.
Les attaques RCE (Remote Code Execution) permettent à un attaquant d’exécuter du code malveillant sur une machine hôte sans avoir besoin de l’accès physique à la machine.
Ce que ça change
Les nouvelles versions corrigent les vulnérabilités, garantissant que les instances Ruby ne peuvent plus être compromises via des expressions régulières malveillantes. Les utilisateurs de GitLab et les développeurs Ruby sont ainsi à l’abri d’exécutions de code non autorisées, renforçant la confiance dans les pipelines CI/CD et les services hébergés.
Par exemple, si un attaquant utilise un motif spécialement conçu pour corrompre la mémoire, les nouvelles versions de Ruby empêcheront cela et empêcheront ainsi l’exécution du code malveillant.
A retenir
- Ruby 4.0.9, 3.4.12 et 3.3.13 corrigent trois bugs critiques d’Onigmo.
- Ces bugs permettaient des RCE sur GitLab via des patterns Regex spécialement conçus.
- Mettre à jour immédiatement les environnements Ruby pour éliminer le risque.
Partagez votre avis!
