Alpine Linux baut GitLab nach RCE-Angriffsversuchen neu auf

Alpine Linux baute seinen GitLab-Server neu auf und setzte alle Benutzerpasswörter zurück, nachdem Angreifer am 20. und 21. Oktober eine kritische Schwachstelle ins Visier genommen hatten. Obwohl die Ermittler keine Hinweise auf eine erfolgreiche Codeausführung fanden, konnten sie aufgrund fehlender Protokolldaten eine Kompromittierung nicht ausschließen.

Angreifer nehmen Entwicklungsinfrastruktur von Alpine Linux ins Visier

Die Angriffe richteten sich gegen CVE-2026-97229, eine Schwachstelle zur Remote-Codeausführung in GitLab mit dem höchsten Schweregrad. Die Sicherheitslücke betrifft einen Integer-Überlauf in Onigmo, einer Engine für reguläre Ausdrücke, die Bestandteil von Ruby ist. Unter bestimmten Bedingungen konnten nicht authentifizierte Angreifer die Schwachstelle durch speziell präparierte CI/CD-Pipeline-Konfigurationen ausnutzen.

GitLab veröffentlichte Informationen über die Schwachstelle und stellte am 12. Oktober Korrekturen bereit. Alpine installierte jedoch zunächst Version 19.3.4 anstelle der gepatchten Version 19.3.5. Auch ein anschließendes Upgrade auf Version 19.3.6 ließ die Installation anfällig, da die zugrunde liegende Ruby-Komponente weiterhin einen Sicherheitspatch benötigte.

GitLab hatte diese Ruby-Korrektur in seine offiziellen Pakete aufgenommen. Allerdings fehlte die notwendige Änderung im angepassten Container-Image von Alpine. Daher reichte ein Update von GitLab allein nicht aus, um die Schwachstelle aus der Projektumgebung zu entfernen.

Schädliche Pipeline-Konfigurationen verursachen acht Abstürze

Während der Angriffe im Oktober verursachten schädliche CI-Konfigurationen acht Abstürze von Worker-Prozessen. Die Ermittler bezeichneten vier Versuche als teilweise erfolgreich, fanden jedoch keine Hinweise darauf, dass einer davon eine vollständige Codeausführung ermöglichte. Dennoch ließ sich anhand der verfügbaren Aufzeichnungen nicht zweifelsfrei feststellen, dass sämtliche Versuche gescheitert waren.

Die Untersuchung ergab außerdem, dass die Angreifer das GitLab-Container-Image von Alpine heruntergeladen hatten. Dies deutete darauf hin, dass sie möglicherweise die Bereitstellung untersuchten, während sie einen potenziellen Lieferkettenangriff vorbereiteten. Der Download des Images bewies jedoch nicht, dass sie den Server erfolgreich kompromittiert hatten.

Fehlende Protokolldaten und das Fehlen von Aufzeichnungen über ausgehende Verbindungen schränkten die Untersuchung ein. Daher baute das Team die GitLab-Instanz vollständig neu auf, anstatt sich weiterhin auf eine Umgebung zu verlassen, deren Integrität nicht mehr vollständig überprüft werden konnte.

Keine Hinweise auf manipulierte Pakete oder Veröffentlichungen

Alpine Linux stellt ein schlankes Betriebssystem bereit, das häufig als Grundlage für Docker-Container-Images dient. Seine GitLab-Infrastruktur beherbergt Entwicklungsrepositorys, Codeüberprüfungen und automatisierte CI-Jobs. Sie enthält außerdem die aports-Bauanweisungen, mit denen Softwarepakete erstellt werden.

Diese Rolle macht die Entwicklungsplattform zu einem attraktiven Ziel für Angreifer, die Zugriff auf nachgelagerte Software erhalten möchten. Die Untersuchung von Alpine ergab jedoch bis zum 27. Oktober keine Hinweise auf Änderungen an Repository-Commits, Paketen oder Veröffentlichungen. Das Team bestätigte außerdem, dass der GitLab-Server keine Paketsignaturschlüssel speicherte, sodass diese Schlüssel außerhalb des potenziellen Gefährdungsbereichs lagen.

Falls den Angreifern die Codeausführung gelungen sein sollte, hätten sie möglicherweise auf Benutzerinformationen, Passwort-Hashes und Geheimnisse für die Zwei-Faktor-Authentifizierung zugreifen können. Zu den weiteren potenziell offengelegten Daten gehören CI/CD-Geheimnisse, Zugangsdaten für Integrationen und private Projektinhalte. Die Ermittler haben jedoch keinen Zugriff auf diese Informationen bestätigt.

Korrigiertes Container-Image enthält den Ruby-Patch

Nach dem Neuaufbau empfahl Alpine Linux den GitLab-Nutzern, ihre Passwörter zurückzusetzen. Außerdem wies das Projekt Nutzer seines GitLab-Containers an, das am 27. Oktober veröffentlichte Image alpinelinux/gitlab:19.3.6 herunterzuladen. Dieses Image enthält Ruby 3.3.13 und behebt die Schwachstelle.

Der Vorfall verdeutlicht, warum die Behebung von Sicherheitslücken in Abhängigkeiten ebenso wichtig ist wie Anwendungsupdates. In diesem Fall reichte die GitLab-Versionsnummer allein nicht aus, um den Schutz zu bestätigen. Die angepasste Bereitstellung benötigte zusätzlich die korrigierte Ruby-Komponente, um die Sicherheitslücke zu schließen.