Linux-distributie Alpine Linux aangevallen via kritiek GitLab-lek

In dit artikel:

Aanvallers hebben op 20 en 21 oktober geprobeerd de GitLab-server van Alpine Linux binnen te dringen via speciaal gemaakte CI/CD-configuraties. De server draaide door een fout nog op GitLab 19.3.4, terwijl een kritieke kwetsbaarheid in die versie al bekend was. Via de fout, CVE-2026-97229, kan een ongeauthenticeerde aanvaller onder voorwaarden willekeurige code uitvoeren. De kwetsbaarheid heeft een maximale CVSS-score van 10,0.

Een nieuw aangemaakt account stuurde de configuraties naar de server. Daardoor crashte het GitLab-workerproces acht keer. In vier gevallen kwam de aanvaller verder met de exploit, maar mislukte de daaropvolgende stap. Ook werd de gebruikte GitLab-containerimage gedownload, vermoedelijk om de aanval op de specifieke omgeving af te stemmen.

Alpine Linux heeft geen bewijs gevonden dat daadwerkelijk code op de server is uitgevoerd, maar kan dat niet uitsluiten. Een upgrade naar GitLab 19.3.6 loste het probleem niet op, omdat de noodzakelijke beveiligingspatch in Ruby zat en niet in de standaard gebruikte image was verwerkt. Het team beschouwde de server daarom als mogelijk gecompromitteerd, bouwde hem volledig opnieuw op en verving alle wachtwoorden en GitLab-sleutels.