L'équipe de développement derrière la distribution Alpine Linux est devenue la cible d'une campagne d'attaques visant des instances GitLab vulnérables. Bien qu'il reste incertain si le système ciblé a été effectivement compromis, les développeurs ont décidé de reconstruire intégralement leur instance GitLab à partir de zéro par mesure de précaution de sécurité. Cet incident sert d'avertissement pour d'autres administrateurs, faisant écho aux alertes émises par l'Agence américaine de la cybersécurité et de la sécurité des infrastructures (CISA) concernant les attaques en cours contre les systèmes GitLab.
Les attaquants ont exploité la CVE-2026-97229, une vulnérabilité avec un score CVSS maximal de 10. Cette faille critique permet à des attaquants non authentifiés d'exécuter du code malveillant en injectant des expressions régulières spécialement conçues via les configurations CI/CD. L'attaque contre Alpine Linux a débuté le 20 octobre, moment où l'instance affectée exécutait la version 19.3.4 de GitLab. Les correctifs pour cette vulnérabilité n'étaient inclus que dans les versions 19.2.8, 19.3.5 et 19.4.2 de GitLab, qui ont été publiées le 12 octobre. Pendant l'incident, les attaquants ont réussi à faire planter les processus workers de GitLab sur le système Alpine Linux.
Bien qu'Alpine Linux ait mis à jour vers la version 19.3.6 de GitLab peu après avoir observé l'attaque, cette mise à jour n'a pas résolu initialement le problème de sécurité. La cause racine de la CVE-2026-97229 ne réside pas dans GitLab lui-même, mais dans le moteur d'expressions régulières Onigmo de Ruby. Par conséquent, une mise à jour de GitLab n'offre une protection que si la version de Ruby provenant des propres paquets d'installation de GitLab est utilisée. Étant donné que les développeurs d'Alpine Linux utilisaient une installation Ruby indépendante, la mise à jour standard s'est révélée inefficace, nécessitant une mise à jour manuelle vers les versions Ruby 3.3.13, 3.4.12 ou 4.0.9.
À la suite d'une enquête approfondie, l'équipe n'a trouvé aucune preuve d'exécution de code malveillant ou de manipulation des versions d'Alpine Linux. Cependant, certains journaux nécessaires à l'enquête étaient indisponibles, ce qui signifie qu'une compromission du serveur ne peut pas être définitivement exclue. En conséquence, l'équipe a choisi de reconstruire entièrement l'instance GitLab. Avant sa mise en ligne, la nouvelle instance subira des tests approfondis. De plus, tous les mots de passe des utilisateurs ont été réinitialisés, obligeant les développeurs à créer de nouvelles identifiants lors de leur prochaine connexion.
La CISA a ajouté la CVE-2026-97229 à son catalogue des vulnérabilités connues exploitées (KEV) le 29 octobre, mettant en garde contre une exploitation active. Les administrateurs qui n'ont pas encore corrigé leurs installations GitLab et Ruby sont vivement encouragés à le faire immédiatement.
Sources: Golem.de.