Alpine Linux genopbyggede sin GitLab-server og nulstillede alle brugeradgangskoder, efter at angribere havde målrettet en kritisk sårbarhed den 20.–21. oktober. Selvom efterforskerne ikke fandt beviser for vellykket kodeudførelse, gjorde manglende logfiler det umuligt at udelukke en kompromittering.
Angribere målretter Alpine Linux’ udviklingsinfrastruktur
Angrebene var rettet mod CVE-2026-97229, en sårbarhed til fjernudførelse af kode i GitLab med den højeste alvorlighedsgrad. Sikkerhedsfejlen involverer et heltalsoverløb i Onigmo, en motor til regulære udtryk, som følger med Ruby. Under visse forhold kunne ikke-godkendte angribere udnytte den gennem særligt udformede CI/CD-pipelinekonfigurationer.
GitLab offentliggjorde sårbarheden og udsendte rettelser den 12. oktober. Alpine installerede dog først version 19.3.4 i stedet for den rettede version 19.3.5. En efterfølgende opgradering til version 19.3.6 efterlod også installationen sårbar, fordi den underliggende Ruby-komponent stadig krævede en sikkerhedsrettelse.
GitLab inkluderede denne Ruby-rettelse i sine officielle pakker. Alpines tilpassede containerimage manglede dog den nødvendige ændring. Derfor var det ikke tilstrækkeligt blot at opdatere GitLab for at fjerne sårbarheden fra projektets miljø.
Skadelige pipelinekonfigurationer forårsager otte nedbrud
Under angrebene i oktober forårsagede skadelige CI-konfigurationer otte nedbrud i arbejdsprocesser. Efterforskerne beskrev fire forsøg som delvist vellykkede, selvom de ikke fandt beviser for, at nogen af dem førte til fuld kodeudførelse. De tilgængelige oplysninger kunne dog ikke endeligt fastslå, at alle forsøgene mislykkedes.
Undersøgelsen afslørede også, at angriberne havde downloadet Alpines GitLab-containerimage. Dette tydede på, at de muligvis havde undersøgt installationen, mens de forberedte et potentielt angreb på forsyningskæden. Download af imaget beviste dog ikke, at de havde kompromitteret serveren.
Manglende logfiler og fraværet af registreringer over udgående forbindelser begrænsede undersøgelsen. Derfor genopbyggede teamet GitLab-instansen fra bunden i stedet for at fortsætte med at bruge et miljø, som de ikke længere kunne verificere fuldt ud.
Ingen beviser for manipulation af pakker eller udgivelser
Alpine Linux leverer et letvægtsoperativsystem, der ofte bruges som grundlag for Docker-containerimages. Dets GitLab-infrastruktur er vært for udviklingsrepositories, kodegennemgange og automatiserede CI-jobs. Den indeholder også aports-byggeopskrifterne, som bruges til at producere softwarepakker.
Denne rolle gør udviklingsplatformen til et attraktivt mål for angribere, der ønsker adgang til software længere nede i forsyningskæden. Alpines undersøgelse fandt dog ingen beviser for ændringer i repository-commits, pakker eller udgivelser frem til den 27. oktober. Teamet bekræftede også, at GitLab-serveren ikke opbevarede nøgler til pakkesignering, hvilket holdt disse nøgler uden for den potentielle eksponering.
Hvis angriberne opnåede kodeudførelse, kunne de potentielt have fået adgang til brugeroplysninger, adgangskodehashes og hemmeligheder til tofaktorgodkendelse. Andet materiale, der potentielt kunne være blevet eksponeret, omfatter CI/CD-hemmeligheder, integrationslegitimationsoplysninger og privat projektindhold. Efterforskerne har dog ikke bekræftet adgang til nogen af disse oplysninger.
Rettet containerimage indeholder Ruby-rettelsen
Efter genopbygningen anbefalede Alpine Linux GitLab-brugere at nulstille deres adgangskoder. Projektet instruerede også brugere af dets GitLab-container i at hente imaget alpinelinux/gitlab:19.3.6, som blev offentliggjort den 27. oktober. Dette image indeholder Ruby 3.3.13 og afhjælper sårbarheden.
Hændelsen understreger, hvorfor rettelser af afhængigheder er vigtige sammen med applikationsopdateringer. I dette tilfælde var GitLabs versionsnummer alene ikke tilstrækkeligt til at bekræfte beskyttelsen. Den tilpassede installation havde også brug for den rettede Ruby-komponent for at lukke sikkerhedshullet.
0 svar til “Alpine Linux genopbygger GitLab efter forsøg på RCE-angreb”