23일 소식.
https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/
루비를 사용하고 있는 각종프로그램에서 CVSS 10.0 , CVSS 9.9 일었는데
저번에 gitlab cvss 10 점이 루비의 정규식엔진이 원인인것으로 밝혀졌어요.
Ruby 4.0.9, 3.4.12 및 3.3.13 버전을 출시했습니다.
이 버전들은 GitLab 서버에서 원격 코드 실행에 악용될 수 있는 Ruby의 정규 표현식 엔진(Onigmo)의 여러 버그를 수정합니다.
GitLab은 이러한 문제에 대해 4개의 CVE를 발표했으며, 이번 Ruby 릴리스에는 Ruby의 근본적인 버그 수정 사항이 포함되어 있습니다.
배경
GitLab은 사용자가 제공하는 정규 표현식(예: CI 구성의 패턴)을 컴파일할 때 특정 방식 Regexp.new을 사용합니다. GitLab은 특수하게 조작된 패턴이 Ruby 컴파일 과정에서 메모리를 손상시킬 수 있으며, 이로 인해 GitLab 서버에서 원격 코드 실행이 발생할 수 있음을 발견했습니다. GitLab은 자체 릴리스에서 배포하는 Ruby에 패치를 적용하여 이러한 문제를 해결했으며, 다음과 같은 CVE 식별자를 할당했습니다.
21일에 뜬거고
자바는 tls 관련 해서 패치있네요
CVE-2026-91403이며, CVSS v3.1 기준 점수는 9.1
인도 인증기관(CA)인 이무드라(eMudhra)와 연관된 중간 CA 인증서 개인키 노출로 인해, 자바가 신뢰가 깨진 위조 인증서를 정상적인 TLS 핸드셰이크로 받아들이게 되는 중간자 공격(MitM) 취약점입니다. 인증이나 사용자 개입 없이 네트워크를 통해 원격으로 악용될 수 있습니다.
근데 이건 저기관련해서 다 문제긴해서요.
