Alpine Linux пересобрала GitLab после попытки RCE-атаки через CVE-2026-97229

Alpine Linux пересобрала GitLab после попытки RCE-атаки

Атака на инфраструктуру разработки Alpine Linux

10 и 11 октября злоумышленники пытались использовать критическую уязвимость GitLab в инфраструктуре разработки Alpine Linux. Инцидент привел к перезагрузке сервера GitLab и сбросу всех паролей из-за опасений возможной компрометации. Атаки были направлены на CVE-2026-97229, уязвимость удаленного выполнения кода максимальной степени серьезности. Попытки неоднократно приводили к сбоям процессов GitLab, некоторые из них были близки к успеху. Alpine Linux не обнаружила доказательств выполнения кода или вмешательства в пакеты и релизы программного обеспечения. Однако команда не смогла исключить успешную компрометацию из-за отсутствия логов и записей об исходящих соединениях. Команда Alpine Linux приняла решение пересобрать экземпляр GitLab с нуля, поскольку не могла исключить выполнение кода, а необходимые для подтверждения доказательства больше не существовали.

GitLab используется для управления репозиториями и сборкой пакетов

Alpine Linux — это компактная операционная система, которая служит основой для образов Docker. Эти образы используются для запуска приложений и сервисов. Экземпляр GitLab в Alpine Linux содержит репозитории разработки, инструменты для ревью кода и задачи непрерывной интеграции (CI). Он также включает рецепты сборки "aports", которые используются для создания пакетов программного обеспечения Alpine. Это делает инфраструктуру GitLab ценной целью для атак на цепочку поставок. Вмешательство в среду GitLab может повлиять на нижестоящее программное обеспечение.

Уязвимость CVE-2026-97229 затрагивает версии GitLab до 19.3.5

CVE-2026-97229 представляет собой уязвимость переполнения целочисленных значений в компиляторе регулярных выражений CI/CD GitLab Onigmo. Уязвимость, включенная в Ruby, позволяет неаутентифицированным злоумышленникам выполнять произвольный код на сервере. GitLab раскрыла информацию об уязвимости и выпустила исправления 12 октября. Компания предупредила, что злоумышленники могут вызвать ее при определенных условиях, отправив специально сформированное регулярное выражение в конфигурации конвейера CI/CD. Alpine изначально установила GitLab версии 19.3.4 вместо исправленной 19.3.5. Последующее обновление до 19.3.6 также не устранило уязвимость, поскольку исправление требовало патча для Ruby. GitLab включила его в свои официальные пакеты, но пользовательский образ контейнера Alpine его не содержал. 20–21 октября злоумышленники отправляли вредоносные конфигурации CI, нацеленные на эту уязвимость, что привело к восьми сбоям рабочих процессов. Четыре из них были частично успешными, но ни одна не достигла полного успеха. Команда Alpine Linux обнаружила, что злоумышленники загрузили образ контейнера GitLab, что предполагает подготовку к атаке на цепочку поставок. После расследования Alpine не обнаружила никаких изменений в коммитах репозитория, пакетах или релизах до 27 октября. Также не могли быть скомпрометированы ключи подписи, поскольку они не хранились на сервере GitLab. В случае успешной эксплуатации потенциально раскрытая информация включает сведения о пользователях, хеши паролей, секреты двухфакторной аутентификации, секреты CI/CD, учетные данные интеграции и содержимое частных проектов. Компрометация этих данных не подтверждена.

Сбросить пароли и обновить образ GitLab

Alpine рекомендует пользователям сбросить пароли GitLab. Необходимо также загрузить образ alpinelinux/gitlab:19.3.6, опубликованный 27 октября. Этот образ содержит Ruby 3.3.13 и устраняет уязвимость CVE-2026-97229.