何が起きたか
crmne/ruby_llmは、CVE-2026-67991（CVSS 7.5、高）を含んでいます。Ruby 3.1.x上のRubyLLM::Utils.underscore内の多項式時間正規表現サービス拒否条件で、非常に長い細工されたクラス、エージェント、またはツール名でトリガー可能で、過度なCPU消費を引き起こします。
なぜ重要か
RubyLLMはLLMサポートアプリケーションおよびエージェントを構築するためのRubyエコシステムライブラリです。名前正規化ユーティリティ内のReDoS（エージェント/ツール命名に使用）は、外部提供されたツールまたはエージェント名を受け付けるRubyLLMベースのエージェントアプリケーションに対する低労力サービス拒否ベクトルを提供します。
攻撃経路
攻撃者は非常に長い、特別に細工されたエージェント/ツール/クラス名を供給し、アンダースコアユーティリティの正規表現内での壊滅的なバックトラッキングをトリガーしてCPUを枯渇させます。
影響を受けるシステム
crmne/ruby_llm（コミットfa6f279847d6d7027814539d9c0dfc3bbdfd2a83）Ruby 3.1.x上
緩和策
執筆時点で確認された修正版なし。エージェント/ツール名に入力長制限を適用を回避策として行います