Alpine Linux възстанови своя GitLab сървър от нулата и принуди потребителите да сменят паролите си след опити за експлоатация на критична уязвимост с максимална степен на сериозност. Екипът не откри доказателства за промяна на изходния код, пакетите или официалните издания, но липсата на достатъчно логове не позволява категорично да бъде изключен успешен пробив.

На 20 и 21 октомври нападатели са опитали да експлоатират уязвимостта CVE-2026-97229 в GitLab инфраструктурата на Alpine Linux. Атаките са предизвикали многократни сривове на процеси в системата за разработка, като според екипа някои от опитите са били близо до успешното изпълнение на зловреден код.

Въпреки че разследването не е установило признаци за компрометиране на софтуерните пакети или изданията на проекта, Alpine Linux не е могъл да потвърди с достатъчна сигурност, че сървърът не е бил пробит. Причината е липсата на част от необходимите логове и записи за изходящите мрежови връзки.

Затова екипът е предприел по-консервативния вариант – изграждане на GitLab инстанцията от нулата и нулиране на паролите.

Уязвимост с максимална сериозност в GitLab CI/CD

CVE-2026-97229 е уязвимост тип integer overflow в механизма за компилиране на регулярни изрази Onigmo, използван от Ruby и включен в CI/CD функционалностите на GitLab. Според публикуваната информация тя може да позволи на неавтентикирани нападатели да изпълнят произволен код на сървъра.

Уязвимостта може да бъде задействана при определени условия чрез подаване на специално конструиран регулярeн израз в конфигурация на CI/CD pipeline. GitLab е обявила проблема и е предоставила корекции на 12 октомври.

Alpine Linux първоначално е инсталирал GitLab версия 19.3.4 вместо коригираната 19.3.5. Последващото обновяване до 19.3.6 също не е отстранило проблема, тъй като необходимата поправка е изисквала актуализация на Ruby. Тя е била включена в официалните пакети на GitLab, но е липсвала в персонализирания контейнерен образ, използван от Alpine.

Този детайл е съществен: наличието на по-нова версия на основния софтуер не гарантира автоматично, че всички зависимости и компоненти са получили необходимата корекция. При персонализирани образи и среди за разработка трябва да се проверява и съставът на включените пакети.

Осем сривa и съмнения за подготовка на атака по веригата на доставки

По време на атаките на 20 и 21 октомври нападателите са подавали злонамерени CI конфигурации, насочени към уязвимостта. Това е довело до осем срива на worker процеси. Четири от опитите са били частично успешни, но според анализа нито един не е достигнал до потвърдено изпълнение на произволен код.

Разследването е установило и че нападателите са изтеглили контейнерния образ на GitLab, използван от Alpine Linux. Екипът допуска, че това може да е било част от подготовка за атака по веригата на доставки.

Този аспект прави инцидента особено важен. Alpine Linux е лека Linux дистрибуция, широко използвана като основа за Docker контейнерни образи, в които работят приложения и услуги. GitLab инфраструктурата на проекта съхранява хранилища с код, прегледи на промените и CI задачи, включително рецептите aports, чрез които се изграждат софтуерните пакети.

Компрометиране на подобна среда би могло да създаде възможност за намеса в процеса на разработка и изграждане на софтуер, а оттам и да засегне организации и потребители, които разчитат на пакетите на Alpine.

Какво е установено и какво остава неизвестно

Alpine Linux съобщава, че при проверките не са открити признаци за промени в commit записите, пакетите или официалните издания до 27 октомври. Екипът уточнява и че ключовете за подписване не са били изложени, тъй като не се съхраняват на GitLab сървъра.

Това са важни положителни резултати от разследването, но те не доказват категорично, че не е имало достъп до други данни или компоненти.

При евентуално успешно експлоатиране потенциално изложени биха могли да бъдат:

• Данни за потребителите и хешове на пароли.
• Тайни, свързани с двуфакторната автентикация.
• CI/CD тайни и идентификационни данни за интеграции.
• Съдържание на частни проекти.

Няма потвърждение, че тези категории информация действително са били компрометирани. Липсата на достатъчно логове обаче не позволява на проекта да изключи напълно тази възможност.

Именно затова решението за възстановяване на GitLab инстанцията от нулата не бива да се разглежда като доказателство за установен пробив, а като предпазна мярка при невъзможност да бъде гарантирана целостта на средата.

Какво трябва да направят потребителите на Alpine Linux

Проектът препоръчва потребителите да сменят паролите си за GitLab и да преминат към актуалния контейнерен образ alpinelinux/gitlab:19.3.6, публикуван на 27 октомври. Той включва Ruby 3.3.13 и отстранява CVE-2026-97229.

За организациите, които използват Alpine Linux в производствени среди, случаят е повод да проверят не само версиите на използваните пакети, но и произхода и целостта на контейнерните образи. Особено внимание заслужават CI/CD тайните, интеграционните идентификационни данни и правата на автоматизираните процеси за изграждане и публикуване на софтуер.

Инцидентът показва и защо сигурността на веригата на доставки не може да се ограничава до проверка на крайния продукт. Инфраструктурата, в която се съхранява кодът и се изграждат пакетите, е част от същата критична среда.

В случая с Alpine Linux няма потвърдено компрометиране на разпространявания софтуер. Но невъзможността да бъде изключен пробив е достатъчна причина проектът да възстанови инфраструктурата си и да предприеме защитни действия. Това е важен урок за всички организации, които разчитат на автоматизирани процеси за разработка и доставка на софтуер.