Уязвимость GitLab с оценкой 10/10 эксплуатировалась против Alpine Linux

GitLab эксплуатировали через уязвимость в Ruby

Уязвимость в GitLab с оценкой CVSS 10/10 эксплуатировалась в течение недели после раскрытия. Атака была направлена на экземпляр Alpine Linux, но оказалась неудачной. Уязвимость отслеживается как CVE-2026-97229. Она связана с недостаточной проверкой регулярных выражений в Onigmo, движке регулярных выражений Ruby. Уязвимость позволяла неаутентифицированному пользователю выполнять произвольный код на сервере GitLab через специально созданное регулярное выражение в конфигурации CI/CD.

GitLab распределяет код через CI/CD

GitLab — это платформа для управления жизненным циклом разработки программного обеспечения. Она включает в себя систему контроля версий Git, инструменты для непрерывной интеграции и непрерывной доставки (CI/CD), а также функции управления проектами. Продукт используют разработчики, команды разработки и DevOps-инженеры для совместной работы над кодом, автоматизации процессов сборки, тестирования и развертывания приложений. Уязвимость CVE-2026-97229 затрагивала компонент CI/CD.

Локальные установки GitLab требуют обновления Ruby

Уязвимость CVE-2026-97229 затрагивает GitLab, если он использует собственную сборку Ruby, а не пакеты, предоставляемые GitLab. Обновление GitLab до версии 19.3.6 не устраняет проблему, поскольку она находится в самом Ruby. Для устранения уязвимости необходимо обновить Ruby до версии 3.3.13, 3.4.12, 4.0.9 или более поздней. Агентство кибербезопасности США CISA добавило CVE-2026-97229 в каталог известных уязвимых уязвимостей (KEV). Федеральным агентствам предписано устранить ее в течение трех дней.

Обновите Ruby и сбросьте пароли

Alpine Linux сообщила об атаке на свой экземпляр GitLab 20 и 21 октября. Злоумышленник использовал новую учетную запись для отправки специально созданных конфигураций CI, что привело к сбою процесса рабочего процесса. В четырех случаях атака частично удалась, но не смогла пройти следующий этап. Злоумышленник также загрузил образ контейнера GitLab, что указывает на попытку подстроить эксплойт под конкретную сборку. Alpine Linux не обнаружила доказательств выполнения кода на сервере, но не исключает такой возможности. Компания перестроила экземпляр GitLab с нуля, сбросила все пароли и предупредила об автоматических попытках входа с использованием скомпрометированных учетных данных. Alpine Linux проводит тестирование экземпляра GitLab перед его публичным выпуском.