De GitLab-server van Alpine Linux werd aangevallen via een ernstige kwetsbaarheid, met crashes en exploitatiepogingen, maar zonder bewijs van succesvolle hack.
De ontwikkelaars van Alpine Linux hebben bekendgemaakt dat hun GitLab-server doelwit was van een aanval via een kritieke kwetsbaarheid in GitLab. Hoewel er geen bewijs is gevonden dat de aanvaller daadwerkelijk code heeft kunnen uitvoeren, kan een succesvolle hack niet worden uitgesloten. Daarom is besloten de GitLab-server volledig opnieuw op te bouwen.
Alpine Linux is een lichtgewicht Linux-distributie met een focus op security. GitLab, een populaire DevOps-tool voor softwareontwikkeling en -beheer, wordt door Alpine Linux gebruikt voor hun ontwikkelprocessen. Op 12 oktober waarschuwde GitLab voor een ernstige kwetsbaarheid (CVE-2026-97229) die een integer overflow betreft. Hierdoor kan een ongeauthenticeerde aanvaller via een kwaadaardige CI/CD-configuratie willekeurige code op de server uitvoeren. De kwetsbaarheid heeft een maximale CVSS-score van 10.0.
Door een fout installeerde Alpine Linux op 13 oktober GitLab versie 19.3.4, die nog kwetsbaar was, in plaats van de gepatchte versie 19.3.5. Op 20 en 21 oktober werden via een nieuw geregistreerd account speciaal voorbereide CI-configuraties naar de kwetsbare GitLab-server gestuurd. Dit leidde tot acht crashes van het GitLab worker proces. Bij vier crashes kwam de aanvaller verder met de exploit, maar mislukte de volgende stap. Ook werd de GitLab container image gedownload, vermoedelijk om de exploit af te stemmen op de gebruikte build.
Het ontwikkelteam heeft geen bewijs gevonden dat de aanvaller code heeft kunnen uitvoeren, maar sluit dit niet uit. Een upgrade naar GitLab 19.3.6 op 22 oktober bood geen oplossing, omdat de fix niet in GitLab zelf zat, maar in een Ruby-patch die alleen in de officiële GitLab-pakketten wordt toegepast. De Alpine Linux image gebruikt standaard Ruby en ontving deze patch niet. Dit betekent dat bij GitLab-servers met een eigen Ruby-installatie niet alleen de GitLab-update, maar ook een Ruby-update noodzakelijk is.
De herbouw van de GitLab-server is inmiddels afgerond, waarbij alle wachtwoorden zijn gereset en alle GitLab secret keys zijn vervangen.
