Alpine Linux heeft de GitLab-omgeving opnieuw opgebouwd nadat een aanvaller eind oktober een kritieke kwetsbaarheid probeerde te misbruiken. De aanval veroorzaakte acht crashes van GitLab-processen. In vier gevallen kwam de aanvaller volgens Alpine een deel van de exploit door, maar mislukte de volgende stap.
Alpine heeft geen aanwijzingen gevonden dat de aanvaller code op de server uitvoerde. Ook zijn geen onverwachte bestanden, sleutels, hooks of processen aangetroffen. Toch kan een geslaagde aanval niet volledig worden uitgesloten, omdat sommige logbestanden ontbreken en uitgaand netwerkverkeer niet werd geregistreerd.
Kwetsbaarheid zat in Ruby
De kwetsbaarheid, CVE-2026-97229, heeft de maximale ernstscore CVSS 10.0. Het probleem zit in de manier waarop GitLab reguliere expressies verwerkt in CI-configuraties. De onderliggende fout bevindt zich in Onigmo, de reguliere-expressie-engine die onderdeel is van Ruby.
GitLab bracht op 12 oktober beveiligingsupdates uit. Alpine draaide op dat moment echter versie 19.3.4 en installeerde per vergissing niet de versie met de oplossing. Een upgrade naar GitLab 19.3.6 op 22 oktober bleek onvoldoende, omdat de benodigde reparatie in Ruby zat en niet in de eigen GitLab-code. De gebruikte container bevatte een standaardversie van Ruby zonder de patch.
Een nieuw aangemaakt account verstuurde op 20 en 21 oktober speciaal samengestelde CI-configuraties. De aanvaller downloadde ook de containerimage van GitLab, vermoedelijk om de aanval op de specifieke omgeving af te stemmen. Op 25 en 26 oktober waren er opnieuw pogingen om binnen te komen, maar die mislukten.
Alpine sloot GitLab op 27 oktober af voor het publiek en verving de omgeving volledig. Alle wachtwoorden zijn gereset en de geheime sleutels van GitLab zijn vervangen. Gebruikers moeten bij de heropening een nieuw wachtwoord instellen. Wie hetzelfde wachtwoord elders gebruikte, krijgt het advies dat daar direct te wijzigen.
Alpine zegt geen aanwijzingen te hebben gevonden voor aanpassing van pakketten of releases. Dat geldt ook voor de releases 3.21.9, 3.22.7, 3.23.7 en 3.24.3, die op 21 oktober verschenen. De sleutels waarmee Alpine-pakketten en releases worden ondertekend, stonden niet op de getroffen GitLab-server.
Als de aanval wel volledig was geslaagd, hadden onder meer e-mailadressen, namen, IP-adressen, wachtwoordhashes, tweefactorauthenticatiegegevens, CI/CD-variabelen, tokens en privéprojecten kunnen worden blootgesteld. Alpine zegt kritieke GitLab-updates voortaan binnen een dag te willen installeren en gaat onder meer langer logbestanden bewaren.
