Alpine Linux obnovio GitLab nakon pokušaja zloupotrebe kritične mane
Alpine Linux je 28. oktobra obnovio svoj GitLab server nakon pokušaja zloupotrebe ranjivosti CVE-2026-97229, ocenjene sa CVSS 10,0. Meta je bio gitlab.alpinelinux.org, na kojem se nalazi repozitorijum aports; Alpine nije pronašao dokaz da je izvršen tuđi kod, ali to nije mogao pouzdano da isključi, pa je resetovao lozinke svih naloga i zamenio GitLab tajne ključeve.
Ranjivost omogućava izvršavanje koda na GitLab serveru preko posebno oblikovanog regularnog izraza u CI konfiguraciji. Ključna pouka incidenta je da sama nadogradnja GitLaba nije nužno dovoljna: zaštita zavisi i od načina na koji je ugrađen Ruby, čiji Onigmo mehanizam obrađuje regularne izraze.
Pokušaji napada i obnova sistema
Alpine je 13. oktobra nadogradio server na GitLab 19.3.4 umesto na 19.3.5, što je označio kao grešku. Novi nalog je 20. i 21. oktobra slao zlonamerne CI konfiguracije. One su osam puta oborile GitLab radne procese, dok je glavni pokušaj 21. oktobra izazvao i greške 502 i neuspešne CI poslove.
U četiri rušenja napadač je, prema nalazima Alpinea, delimično prošao kroz eksploataciju, ali nije uspeo u narednom koraku. Preuzeo je i Alpineovu GitLab sliku kontejnera, što ukazuje da je pokušavao da prilagodi postupak konkretnom okruženju. Nalog je blokiran 23. oktobra, a novi pokušaji pristupa 25. i 26. oktobra nisu uspeli.
Iako je server 22. oktobra prešao na GitLab 19.3.6, Alpine je 26. oktobra ustanovio da je i dalje ranjiv. Javni pristup je zatvoren dan kasnije, a obnova je završena 28. oktobra. Novi sistem koristi Ruby 3.3.13 ili noviji, uz dodatno testiranje pre ponovnog javnog otvaranja.
Zašto GitLab nadogradnja nije rešila problem
GitLab je 12. oktobra isporučio zakrpu kroz Ruby koji dolazi uz njegove Linux pakete i zvanične slike kontejnera. Alpineova slika je, međutim, koristila standardni Ruby iz sistema. Zato nadogradnja GitLaba nije promenila komponentu u kojoj se nalazio propust.
Za samostalno kompajlirane GitLab instalacije i prilagođene kontejnerske slike potrebno je nadograditi i GitLab i Ruby na 3.3.13, 3.4.12, 4.0.9 ili noviju verziju. Ruby 3.2 više ne dobija ispravku. Korisnici slike alpinelinux/gitlab treba ponovo da preuzmu oznaku 19.3.6, jer slika objavljena 27. oktobra uključuje Ruby 3.3.13, dok su ranije preuzete slike sa istom oznakom ostale ranjive.
Provera integriteta i mere za administratore
Alpine je proverio promene u aports repozitorijumu od 20. do 22. oktobra kroz zapise poznatih programera, njihove kopije repozitorijuma i svih 45 build servera. Paketi izgrađeni od 20. do 24. oktobra podudaraju se sa objavljenim promenama. Ključevi za potpisivanje paketa i izdanja nisu se nalazili na GitLab serveru.
Organizacija ipak upozorava da nedostaju pojedini logovi sa dana napada, uključujući evidencije pozadinskih poslova i datotečni sistem starog kontejnera, a izlazne mrežne veze nisu beležene. Potencijalno bi bili izloženi podaci naloga, heševi lozinki, 2FA tajne, CI/CD promenljive, tokeni i privatni repozitorijumi.
Administratori treba da utvrde da li koriste zvanični GitLab paket ili sliku sa ugrađenim zakrpljenim Rubyjem, odnosno sopstveni Ruby. Dok se trajna ispravka ne primeni, ograničavanje anonimnog pristupa javnim projektima i prava nepouzdanim korisnicima može smanjiti rizik samo za poznatu putanju napada. Praktičan poslovni zaključak je da upravljanje zakrpama mora obuhvatiti aplikaciju, runtime i prilagođene slike, uz plan rotacije tajni kada je integritet servera neizvestan.