#Ruby

2026年10月23日、GitLabのCVE-2026-89078など4件の原因になったOnigmoのバグを直したRuby 4.0.9、3.4.12、3.3.13が出た。外部の文字列から正規表現を組み立てるRubyアプリは更新の対象になる。WSL2でビルドした5つの版に修正PRのテストパターンを流し、修正前の版が異常終了するのを確かめた。

2026年10月21日のGitLab Critical Patch Releaseで、7.0以降の全バージョンに影響するCVSS 10.0の脆弱性CVE-2026-110264が直った。Org-modeの表示処理からRubyの正規表現エンジンで範囲外書き込みが起きる仕組み、更新先の修正版、検知ルールに沿ったログの確認方法と、手元のRuby 4.0.6でまだ修正が入っていないことを確かめた結果。

Rails 7.2.3.2、8.0.5.1、8.1.3.1で修正。15形式をpngという名前でlibvipsに読ませ、8.1.3と8.1.3.1の実アプリで同じ添付を解析させた記録。公開された攻撃チェーンの入口matload、BMP・ICO・PSDの変換画像が壊れる条件、libvips 8.13未満で起動しなくなる環境まで扱う。