Vulnerabilidades Críticas no GitLab Permitem Execução Remota de Código Via Corrupção de Memória em Ruby

A vulnerabilidade crítica no GitLab, que permite a execução remota de código (RCE) por meio de corrupção de memória em Ruby, é um exemplo clássico de como falhas em dependências de baixo nível podem comprometer sistemas complexos. A exploração, detalhada pelos pesquisadores da DepthFirst, começou com o encadeamento de dois bugs no parser Oj JSON, amplamente utilizado em aplicações Ruby, incluindo o GitLab. Uma gravação não verificada na pilha de aninhamento (nesting-stack) e um truncamento inseguro de chaves de 16 bits criaram as condições para manipular ponteiros de memória.

O ataque se concretizou quando um usuário autenticado, com acesso de 'push', enviou um Jupyter notebook manipulado para o repositório e visualizou seu 'diff' renderizado. Esse processo ativou a cadeia de falhas, comprometendo o processo do worker Puma. A exploração conseguiu contornar o ASLR (Address Space Layout Randomization) e executar comandos como o usuário 'git', utilizando 'gadgets' de 'libruby/libc' para invocar a função 'system()'. Isso demonstra que, apesar de Ruby ser uma linguagem geralmente considerada 'memory-safe', extensões em C, como o Oj, reintroduzem riscos de corrupção de memória, pois lidam diretamente com ponteiros e alocação manual.

Em 26 de junho de 2026, o CEVIU News noticiou a correção de múltiplas vulnerabilidades pelo GitLab, incluindo falhas de alta gravidade. A notícia de hoje aprofunda este cenário ao detalhar a vulnerabilidade mais crítica, que permite a execução remota de código via corrupção de memória em Ruby, presente em instâncias do GitLab por quase quatro anos. Enquanto a cobertura anterior informou sobre o lançamento dos patches de segurança, esta reportagem do CEVIU News explora os detalhes técnicos da exploração, a mecânica da cadeia de bugs e o impacto específico do parser Oj JSON. Mostramos o 'como' por trás do 'o quê' já divulgado.

Esta RCE no GitLab é um alerta crucial para a segurança da cadeia de suprimentos de software. A dependência em bibliotecas de terceiros, mesmo que amplamente testadas, pode introduzir vulnerabilidades profundas. A falha no parser Oj, que permaneceu por quase cinco anos antes de ser descoberta, sublinha a dificuldade de detectar problemas em componentes de baixo nível escritos em C, mesmo em linguagens como Ruby, consideradas seguras. Para as empresas que utilizam instâncias auto-gerenciadas do GitLab, a atualização imediata é vital, pois a RCE permite que um atacante obtenha controle total sobre o servidor, expondo dados sensíveis e a integridade do código-fonte.