Il team di sviluppo dietro alla distribuzione Alpine Linux è diventato il bersaglio di una campagna di attacchi contro istanze di GitLab vulnerabili. Sebbene rimanga incerto se il sistema preso di mira sia stato effettivamente compromesso, gli sviluppatori hanno deciso di ricostruire completamente la loro istanza di GitLab da zero come misura precauzionale di sicurezza. Questo incidente funge da avvertimento per altri amministratori, riecheggiando gli allerti emessi dall'Agenzia statunitense per la Sicurezza Cibernetica e delle Infrastrutture (CISA) riguardo agli attacchi in corso sui sistemi GitLab.
Gli attaccanti hanno sfruttato la CVE-2026-97229, una vulnerabilità con un punteggio CVSS massimo di 10. Questa falla critica consente ad attaccanti non autenticati di eseguire codice malevolo iniettando espressioni regolari appositamente create attraverso le configurazioni CI/CD. L'attacco contro Alpine Linux è iniziato il 20 ottobre, momento in cui l'istanza interessata stava eseguendo la versione 19.3.4 di GitLab. Le patch per questa vulnerabilità sono state incluse solo nelle versioni 19.2.8, 19.3.5 e 19.4.2 di GitLab, rilasciate il 12 ottobre. Durante l'incidente, gli attaccanti sono riusciti a far crashare i processi worker di GitLab sul sistema Alpine Linux.
Sebbene Alpine Linux abbia aggiornato alla versione 19.3.6 di GitLab poco dopo aver osservato l'attacco, questo aggiornamento non ha inizialmente risolto il problema di sicurezza. La causa radice della CVE-2026-97229 non risiede in GitLab stesso, ma nel motore di espressioni regolari Onigmo di Ruby. Di conseguenza, un aggiornamento di GitLab fornisce protezione solo se viene utilizzata la versione di Ruby dai pacchetti di installazione stessi di GitLab. Poiché gli sviluppatori di Alpine Linux hanno utilizzato un'installazione indipendente di Ruby, l'aggiornamento standard si è rivelato inefficace, richiedendo un aggiornamento manuale alle versioni 3.3.13, 3.4.12 o 4.0.9 di Ruby.
A seguito di un'indagine approfondita, il team non ha trovato prove di esecuzione di codice malevolo o manipolazione delle release di Alpine Linux. Tuttavia, alcuni log necessari per l'indagine non erano disponibili, il che significa che una compromissione del server non può essere definitivamente esclusa. Di conseguenza, il team ha scelto di ricostruire interamente l'istanza di GitLab. Prima di andare online, la nuova istanza sottoporrà a test estesi. Inoltre, tutte le password degli utenti sono state reimpostate, richiedendo agli sviluppatori di creare nuove credenziali al prossimo accesso.
La CISA ha aggiunto la CVE-2026-97229 al suo catalogo delle Vulnerabilità Note Sfruttate (KEV) il 29 ottobre, avvertendo dello sfruttamento attivo. Gli amministratori che non hanno ancora applicato le patch alle loro installazioni di GitLab e Ruby sono invitati a farlo immediatamente.
Fonti: Golem.de.