Alpine Linux bygger om GitLab efter RCE-försök

Alpine Linux byggde om sin GitLab-server och återställde alla lösenord efter att angripare försökt utnyttja en kritisk sårbarhet i utvecklingsinfrastrukturen den 20–21 oktober. Projektet uppgav att det inte hittat några tecken på kodkörning eller manipulation, men att saknade loggar och uppgifter om utgående anslutningar gjorde att ett intrång inte kunde uteslutas.

Angreppen riktades mot CVE-2026-97229, en heltalsöversvämning med högsta allvarlighetsgrad i Onigmo, den reguljära uttryckskomponent som används i GitLab CI/CD och ingår i Ruby. Under vissa förhållanden kunde en angripare utan autentisering utlösa felet med ett särskilt utformat reguljärt uttryck i en pipelinekonfiguration och köra kod på servern. GitLab offentliggjorde sårbarheten och släppte korrigeringar den 12 oktober.

Alpine installerade först GitLab 19.3.4 i stället för den korrigerade versionen 19.3.5. En uppgradering till 19.3.6 täppte inte heller till sårbarheten, eftersom Alpines anpassade containeravbildning saknade Ruby-korrigeringen som ingick i GitLabs officiella paket. Skadliga CI-konfigurationer den 20–21 oktober orsakade åtta krascher i arbetarprocesser. Fyra försök lyckades delvis, men inget verkade slutföras.

Angriparna laddade också ned Alpines GitLab-containeravbildning. Projektet uppgav att det kan tyda på förberedelser för en leveranskedjeattack. Alpine rapporterade att man inte hittat manipulation av arkivets incheckningar, paket eller utgåvor fram till den 27 oktober. Signeringsnycklarna var inte utsatta, eftersom de inte lagras på GitLab-servern.

Alpine uppgav att ett lyckat utnyttjande kunde ha röjt användaruppgifter, lösenordshashar, 2FA-hemligheter, CI/CD-hemligheter, inloggningsuppgifter för integrationer och privat projektinnehåll. Projektet har inte bekräftat att något av detta röjts. Alpine rekommenderade användarna att återställa sina GitLab-lösenord och hämta avbildningen alpinelinux/gitlab:19.3.6, som publicerades den 27 oktober och innehåller Ruby 3.3.13 med en korrigering för CVE-2026-97229.