Das Entwicklungsteam hinter der Alpine Linux-Distribution ist zum Ziel einer Angriffskampagne gegen verwundbare GitLab-Instanzen geworden. Obwohl unklar bleibt, ob das angegriffene System erfolgreich kompromittiert wurde, haben sich die Entwickler aus Sicherheitsgründen entschieden, ihre GitLab-Instanz von Grund auf neu aufzubauen. Dieser Vorfall dient als Warnung für andere Administratoren und unterstreicht die Warnungen der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) bezüglich anhaltender Angriffe auf GitLab-Systeme.
Die Angreifer nutzten CVE-2026-97229, eine Schwachstelle mit einer maximalen CVSS-Punktzahl von 10. Dieser kritische Fehler ermöglicht es nicht authentifizierten Angreifern, bösartigen Code auszuführen, indem sie speziell gestaltete reguläre Ausdrücke über CI/CD-Konfigurationen injizieren. Der Angriff auf Alpine Linux begann am 20. Oktober; zu diesem Zeitpunkt lief die betroffene Instanz mit GitLab Version 19.3.4. Patches für diese Schwachstelle waren erst in den GitLab-Versionen 19.2.8, 19.3.5 und 19.4.2 enthalten, die am 12. Oktober veröffentlicht wurden. Während des Vorfalls gelang es den Angreifern, GitLab-Arbeiterprozesse auf dem Alpine Linux-System zum Absturz zu bringen.
Obwohl Alpine Linux kurz nach der Beobachtung des Angriffs auf GitLab Version 19.3.6 aktualisiert wurde, löste dieses Update das Sicherheitsproblem zunächst nicht. Die Ursache von CVE-2026-97229 liegt nicht in GitLab selbst, sondern im Onigmo-Regular-Ausdruck-Engine von Ruby. Folglich bietet ein GitLab-Update nur dann Schutz, wenn die Ruby-Version aus den eigenen Installationspaketen von GitLab verwendet wird. Da die Entwickler von Alpine Linux eine unabhängige Ruby-Installation nutzten, war das Standard-Update unwirksam und erforderte ein manuelles Update auf Ruby-Versionen 3.3.13, 3.4.12 oder 4.0.9.
Nach einer gründlichen Untersuchung fand das Team keine Beweise für die Ausführung bösartigen Codes oder die Manipulation von Alpine Linux-Releases. Allerdings waren einige für die Untersuchung notwendige Protokolle nicht verfügbar, was bedeutet, dass eine Kompromittierung des Servers nicht definitiv ausgeschlossen werden kann. Aus diesem Grund entschied sich das Team dafür, die GitLab-Instanz vollständig neu aufzubauen. Bevor die neue Instanz live geht, wird sie umfangreichen Tests unterzogen. Zusätzlich wurden alle Benutzerpasswörter zurückgesetzt, sodass Entwickler bei ihrem nächsten Login neue Zugangsdaten erstellen müssen.
CISA hat CVE-2026-97229 am 29. Oktober in seinen Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und vor aktiver Ausnutzung gewarnt. Administratoren, die ihre GitLab- und Ruby-Installationen noch nicht gepatcht haben, werden dringend aufgefordert, dies sofort zu tun.
Quellen: Golem.de.