Alpine Linux перебудувала GitLab після спроби віддаленого виконання коду
Alpine Linux перебудувала GitLab і скинула паролі після спроб експлуатації критичної уразливості CVE-2026-97229.
Проєкт Alpine Linux повністю перебудував свій сервер GitLab і скинув усі паролі після спроб використати критичну уразливість для віддаленого виконання коду. Атаки на інфраструктуру розробки тривали 20–21 жовтня. Команда проєкту не виявила підтверджень виконання коду зловмисниками чи втручання в пакети та релізи, однак не змогла остаточно виключити компрометацію через відсутність частини журналів і записів про вихідні з’єднання.
Про інцидент BBC News повідомляє з посиланням на Alpine Linux.
Уразливість у GitLab
Атакувальники намагалися експлуатувати CVE-2026-97229 — уразливість максимальної критичності в компіляторі регулярних виразів Onigmo, який постачається з Ruby та використовується у CI/CD GitLab. Вона пов’язана з переповненням цілого числа й за певних умов дає неавторизованому користувачеві змогу виконати довільний код на сервері через спеціально сформований регулярний вираз у конфігурації конвеєра CI/CD.
GitLab розкрила інформацію про проблему та випустила виправлення 12 жовтня. Alpine Linux спершу встановила GitLab 19.3.4 замість виправленої версії 19.3.5. Оновлення до 19.3.6 також не усунуло ризик повністю, оскільки необхідним було оновлення Ruby: воно входило до офіційних пакетів GitLab, але було відсутнє у власному контейнерному образі Alpine.
Перебудова сервера та перевірка даних
Під час атак 20–21 жовтня було зафіксовано вісім аварійних завершень роботи процесів GitLab. Чотири спроби були частково успішними, однак, за оцінкою команди Alpine Linux, жодна з них не завершилася повною експлуатацією вади. Також проєкт встановив, що атакувальники завантажили контейнерний образ GitLab, що могло бути підготовкою до атаки на ланцюг постачання.
Команда перевірила коміти репозиторіїв, пакети та релізи до 27 жовтня і не виявила ознак підміни. Ключі підпису не могли бути скомпрометовані, оскільки не зберігаються на сервері GitLab. Водночас у разі успішної експлуатації потенційно могли бути розкриті дані користувачів, хеші паролів, секрети двофакторної автентифікації, секрети CI/CD, облікові дані інтеграцій і вміст приватних проєктів.
Alpine Linux рекомендувала користувачам змінити паролі в GitLab і використовувати контейнерний образ alpinelinux/gitlab:19.3.6, опублікований 27 жовтня. Він містить Ruby 3.3.13 та усуває CVE-2026-97229.
