Alpine Linux byggde om sin GitLab-server och återställde alla användarlösenord efter att angripare riktat in sig på en kritisk sårbarhet den 20–21 oktober. Även om utredarna inte hittade några bevis för att kod hade körts framgångsrikt, gjorde saknade loggar det omöjligt att utesluta en kompromettering.
Angripare riktar in sig på Alpine Linux utvecklingsinfrastruktur
Attackerna riktades mot CVE-2026-97229, en sårbarhet för fjärrkörning av kod i GitLab med högsta allvarlighetsgrad. Säkerhetsbristen handlar om ett heltalsöverskridande i Onigmo, en motor för reguljära uttryck som ingår i Ruby. Under vissa förhållanden kunde oautentiserade angripare utnyttja den genom särskilt utformade CI/CD-pipelinekonfigurationer.
GitLab offentliggjorde sårbarheten och släppte korrigeringar den 12 oktober. Alpine installerade dock inledningsvis version 19.3.4 i stället för den korrigerade versionen 19.3.5. En efterföljande uppgradering till version 19.3.6 lämnade också installationen sårbar eftersom den underliggande Ruby-komponenten fortfarande behövde en säkerhetskorrigering.
GitLab inkluderade denna Ruby-korrigering i sina officiella paket. Alpines anpassade containeravbildning saknade dock den nödvändiga ändringen. Följaktligen räckte det inte att enbart uppdatera GitLab för att åtgärda sårbarheten i projektets miljö.
Skadliga pipelinekonfigurationer orsakar åtta krascher
Under attackerna i oktober orsakade skadliga CI-konfigurationer åtta krascher i arbetsprocesser. Utredarna beskrev fyra försök som delvis framgångsrika, även om de inte hittade några bevis för att något av dem ledde till fullständig kodkörning. De tillgängliga uppgifterna kunde dock inte slutgiltigt fastställa att samtliga försök misslyckades.
Utredningen visade också att angriparna hade laddat ned Alpines GitLab-containeravbildning. Detta tydde på att de kan ha studerat installationen medan de förberedde en potentiell leveranskedjeattack. Nedladdningen av avbildningen bevisade dock inte att de lyckades kompromettera servern.
Saknade loggar och avsaknaden av register över utgående anslutningar begränsade utredningen. Därför byggde teamet om GitLab-instansen från grunden i stället för att fortsätta använda en miljö vars säkerhet inte längre kunde verifieras fullt ut.
Inga bevis för manipulation av paket eller utgåvor
Alpine Linux tillhandahåller ett lättviktigt operativsystem som ofta används som grund för Docker-containeravbildningar. Dess GitLab-infrastruktur hanterar utvecklingsarkiv, kodgranskningar och automatiserade CI-jobb. Den innehåller också byggrecepten i aports som används för att skapa programvarupaket.
Denna roll gör utvecklingsplattformen till ett attraktivt mål för angripare som vill få åtkomst till programvara längre ned i leveranskedjan. Alpines utredning hittade dock inga bevis för ändringar i arkivens commits, paket eller utgåvor fram till den 27 oktober. Teamet bekräftade också att GitLab-servern inte lagrade nycklar för paketsignering, vilket innebar att dessa nycklar låg utanför den potentiella exponeringen.
Om angriparna lyckades köra kod kan de potentiellt ha fått åtkomst till användarinformation, lösenordshashar och hemligheter för tvåfaktorsautentisering. Annat material som kan ha exponerats omfattar CI/CD-hemligheter, integrationsuppgifter och privat projektinnehåll. Utredarna har dock inte bekräftat åtkomst till någon av dessa uppgifter.
Korrigerad containeravbildning innehåller Ruby-uppdateringen
Efter ombyggnaden uppmanade Alpine Linux GitLab-användare att återställa sina lösenord. Projektet instruerade också användare av dess GitLab-container att hämta avbildningen alpinelinux/gitlab:19.3.6 som publicerades den 27 oktober. Denna avbildning innehåller Ruby 3.3.13 och åtgärdar sårbarheten.
Incidenten visar varför korrigeringar av beroenden är viktiga vid sidan av programuppdateringar. I det här fallet räckte inte GitLabs versionsnummer för att bekräfta att systemet var skyddat. Den anpassade installationen behövde också den korrigerade Ruby-komponenten för att stänga säkerhetsluckan.
0 svar till ”Alpine Linux bygger om GitLab efter försök till RCE-attacker”