ランタイムの脆弱性2026年10月24日（土）
Ruby Onigmoのメモリ破損：実行環境を更新し、動的な正規表現への入力を確認
Rubyは2026年10月23日に4.0.9、3.4.12、3.3.13を公開し、Onigmoの正規表現コンパイルに関する4件の不具合を修正しました。攻撃者が制御できるパターンをコンパイルすると、メモリ破損が起こり得ます。検索、絞り込み、利用者定義ルールを優先して確認してください。
本文
Rubyは2026年10月23日に4.0.9、3.4.12、3.3.13を公開し、Onigmoの正規表現コンパイルに関する4件の不具合を修正しました。攻撃者が制御できるパターンをコンパイルすると、メモリ破損が起こり得ます。検索、絞り込み、利用者定義ルールを優先して確認してください。
- 01
外部のパターンを受け取る
- 02
脆弱なOnigmoでコンパイルする
- 03
メモリ破損がプロセスに影響する可能性がある
- CVE-2026-89078：パターンの解析失敗後に二重解放が発生する可能性があります。Ruby 4.0系では4.0.0で修正済みです。
- CVE-2026-93577、CVE-2026-97229：コンパイル後のパターンサイズ計算で整数オーバーフローが発生します。4.0系では4.0.8で修正済みです。
- CVE-2026-110264：繰り返し項目が多いと内部識別子がオーバーフローします。4.0系では4.0.9で修正済みです。3.4系の3.4.12と3.3系の3.3.13には4件すべての修正が含まれます。
- すぐに更新できない場合は、信頼できないパターンのコンパイルを停止します。Regexp.timeoutやパターン長の制限だけでは確実に防げません。
- 01
Rubyの実行環境を棚卸し
公開サービス、社内サービス、委託アプリ、コンテナイメージ、CI、組み込みランタイムを確認します。
対応策を見る関連情報 1件
TWISA会員企業の対策
Rubyの実行環境を棚卸し
公開サービス、社内サービス、委託アプリ、コンテナイメージ、CI、組み込みランタイムを確認します。
- 02
攻撃者が操作できる入力経路を特定
外部入力からRegexpを生成する機能を調べます。検索、絞り込み、ルール設定を優先します。
- 03
更新して再ビルド・再配備
系列ごとの修正版に更新して成果物を再ビルドし、稼働中のバージョンを確認します。
- 04
許可された環境で再検証
入力処理、エラー応答、プロセスの安定性を試験し、ログと更新記録を残します。
対応策を見る関連情報 2件
TWISA会員企業の対策
許可された環境で再検証
入力処理、エラー応答、プロセスの安定性を試験し、ログと更新記録を残します。
許可された業務通信のみを通し、各層で防御を行います。
- 01
Rubyの実行環境を棚卸し
公開サービス、社内サービス、委託アプリ、コンテナイメージ、CI、組み込みランタイムを確認します。
- 02
攻撃者が操作できる入力経路を特定
外部入力からRegexpを生成する機能を調べます。検索、絞り込み、ルール設定を優先します。
- 03
更新して再ビルド・再配備
系列ごとの修正版に更新して成果物を再ビルドし、稼働中のバージョンを確認します。
各層のログと通信データを集約し、監視と対応に活用します。
- 許可された環境で再検証入力処理、エラー応答、プロセスの安定性を試験し、ログと更新記録を残します。
TWISA会員企業の対策
Rubyの実行環境を棚卸し → ランタイム台帳と脆弱性管理
稼働バージョンを記録し、修正状況を追跡します。
許可された環境で再検証 → 外部入力とアプリケーションの試験
外部入力からコンパイルまでを試験し、修正を確認します。
許可された環境で再検証 → アプリログとプロセスイベント
コンパイルエラーとプロセスの異常を突き合わせます。
攻撃者が操作できる入力経路を特定 → 外部パターン入力を制限
固定パターンを優先し、コンパイル前に入力を検証します。該当する場合はSkyCloudの特典条件を確認し、入口のルールを試験します。
攻撃者が操作できる入力経路を特定 → Rubyサービスのデータベース権限を限定
サービスアカウントの権限を必要なデータベース、テーブル、操作に限定します。
攻撃者が操作できる入力経路を特定 → 機密フィールドを暗号化・マスキング
フィールドの暗号化とマスキングで平文の露出を抑えます。
出典・関連記事
速報更新日：2026/10/25。製品サポートと修正状況はメーカーの最新情報をご確認ください。