Alpine Linux heeft zijn GitLab-server volledig herbouwd en wachtwoorden gereset na een poging tot exploitatie van een kritieke RCE-kwetsbaarheid.
Op 20 en 21 oktober probeerden hackers een kritieke kwetsbaarheid in GitLab te misbruiken binnen de ontwikkelomgeving van Alpine Linux. Dit leidde ertoe dat het open source-project besloot de GitLab-server volledig te herbouwen en alle wachtwoorden te resetten uit voorzorg voor mogelijke compromittering.
De aanvallen richtten zich op CVE-2026-97229, een kwetsbaarheid met maximale ernst die remote code execution (RCE) mogelijk maakt. De aanvallen veroorzaakten herhaaldelijk crashes van GitLab-processen en kwamen enkele keren dicht bij een succesvolle exploitatie. Hoewel Alpine Linux geen bewijs vond dat er daadwerkelijk code werd uitgevoerd of dat softwarepakketten en releases werden aangepast, kon een succesvolle compromittering niet worden uitgesloten vanwege ontbrekende logbestanden en het ontbreken van uitgaande connectieregistraties.
Het Alpine Linux-team gaf aan dat zij vanwege deze onzekerheid de veiligste weg kozen door de GitLab-instantie volledig opnieuw op te bouwen, zoals zij uitlegden. Alpine Linux is een lichtgewicht besturingssysteem dat veel wordt gebruikt als basis voor Docker-containerimages waarop applicaties en diensten draaien. De GitLab-omgeving van Alpine bevat onder andere ontwikkelrepositories, code reviews en CI-jobs, waaronder de "aports" build recipes die worden gebruikt voor het maken van Alpine’s softwarepakketten. Dit maakt het een waardevol doelwit voor supply chain-aanvallen, omdat manipulatie van deze omgeving downstream software kan beïnvloeden.
De kwetsbaarheid CVE-2026-97229 betreft een integer overflow in de Onigmo-reguliere expressiecompiler van GitLab’s CI/CD, die in Ruby is ingebouwd. Hierdoor kunnen niet-geauthenticeerde aanvallers op afstand willekeurige code uitvoeren op de server. GitLab bracht op 12 oktober een patch uit, maar Alpine installeerde aanvankelijk versie 19.3.4 in plaats van de gepatchte 19.3.5. Een latere upgrade naar 19.3.6 bood ook geen volledige oplossing, omdat de fix een patch voor Ruby vereiste die in de officiële GitLab-pakketten zat, maar niet in de aangepaste Alpine-containerimage.
Tijdens de aanvalsdagen werden kwaadaardige CI-configuraties ingediend die de kwetsbaarheid probeerden te benutten, wat leidde tot acht crashes van worker-processen. Vier daarvan waren gedeeltelijk succesvol, maar geen enkele aanval leek volledig te slagen. Het team ontdekte dat de aanvallers de GitLab-containerimage van Alpine hadden gedownload, wat kan wijzen op voorbereidingen voor een supply chain-aanval. Na onderzoek tot 27 oktober werden geen aanwijzingen gevonden voor manipulatie van repository-commits, pakketten of releases. Ook waren er geen tekenen dat ondertekeningssleutels waren blootgesteld, aangezien deze niet op de GitLab-server worden opgeslagen.
Indien de exploitatie toch was geslaagd, zouden mogelijk gebruikersgegevens, wachtwoordhashes, 2FA-secrets, CI/CD-secrets, integratiegegevens en privéprojectinhoud blootgesteld kunnen zijn. Een daadwerkelijke compromittering hiervan is echter niet bevestigd. Alpine adviseert gebruikers hun GitLab-wachtwoorden te resetten en de containerimage alpinelinux/gitlab:19.3.6 te gebruiken, die op 27 oktober werd gepubliceerd en Ruby 3.3.13 bevat met de benodigde patch tegen CVE-2026-97229.
