Alpine Linux reconstruye GitLab tras un intento de ataque RCE

Alpine Linux reconstruyó su servidor GitLab y restableció todas las contraseñas después de que unos atacantes intentaran explotar una vulnerabilidad crítica en su infraestructura de desarrollo el 20 y 21 de octubre. El proyecto dijo que no encontró indicios de ejecución de código ni de manipulación, pero que los registros incompletos y la falta de datos sobre conexiones salientes le impidieron descartar una posible intrusión.

Los ataques se dirigieron a CVE-2026-97229, una vulnerabilidad de desbordamiento de enteros de gravedad máxima en Onigmo, el compilador de expresiones regulares que usa GitLab CI/CD y que viene incluido con Ruby. En determinadas condiciones, un atacante sin autenticar podía activar el fallo mediante una expresión regular diseñada para una configuración de canalización y ejecutar código en el servidor. GitLab divulgó la vulnerabilidad y publicó correcciones el 12 de octubre.

Alpine instaló inicialmente GitLab 19.3.4 en lugar de la versión corregida 19.3.5. La actualización a 19.3.6 tampoco cerró la vulnerabilidad porque la imagen de contenedor personalizada de Alpine no incluía la corrección de Ruby presente en los paquetes oficiales de GitLab. Las configuraciones CI maliciosas enviadas el 20 y 21 de octubre provocaron ocho caídas de procesos de trabajo. Cuatro intentos tuvieron éxito parcial, pero ninguno pareció completarse.

Los atacantes también descargaron la imagen de contenedor GitLab de Alpine, lo que, según el proyecto, podría indicar preparativos para un ataque a la cadena de suministro. Alpine informó que no encontró manipulaciones en las confirmaciones de los repositorios, los paquetes ni las versiones publicadas hasta el 27 de octubre. Añadió que las claves de firma no estaban en riesgo porque no se almacenan en el servidor GitLab.

Alpine dijo que una explotación exitosa podría haber expuesto datos de usuarios, hashes de contraseñas, secretos de 2FA y CI/CD, credenciales de integraciones y contenido de proyectos privados; no ha confirmado que se comprometiera ninguno. El proyecto recomendó restablecer las contraseñas de GitLab y descargar la imagen alpinelinux/gitlab:19.3.6, publicada el 27 de octubre, que incluye Ruby 3.3.13 y corrige CVE-2026-97229.