Alpine Linux يعيد بناء GitLab بعد محاولة استغلال CVE-2026-97229

قالت Alpine Linux إن مهاجما حاول استغلال الثغرة الحرجة CVE-2026-97229 في مثيل GitLab الخاص بها يومي 20 و21 أكتوبر. كان المثيل يعمل على GitLab 19.3.4 من دون الإصلاح الصادر في 12 أكتوبر. لم تجد Alpine دليلا على نجاح المحاولة، لكنها لم تستطع استبعاده، لذلك أعادت بناء المثيل من الصفر وأعادت ضبط جميع كلمات المرور.

الثغرة والهجوم

CVE-2026-97229 هي ثغرة حرجة، بدرجة CVSS تبلغ 10.0، في طريقة تقييم GitLab للتعابير النمطية في إعدادات CI. الخلل الأساسي يوجد في Onigmo، محرك التعابير النمطية المضمّن في Ruby. نشر GitLab إصدارات مصححة في 12 أكتوبر، لكن الإصلاح عبارة عن مجموعة من التصحيحات لـ Ruby التي يضمّنها GitLab. أصدرت Ruby الأصلية الإصلاح في 23 أكتوبر ضمن Ruby 3.3.13 و3.4.12 و4.0.9. بعد نشر CVE في 13 أكتوبر، ترقّت Alpine إلى 19.3.4 بدلا من 19.3.5 المصححة بالخطأ.

في 20 و21 أكتوبر، أرسل حساب مسجل حديثا إعدادات CI مصممة خصيصا إلى المثيل. أدى ذلك إلى تعطّل عمليات worker في GitLab 8 مرات. في 4 تعطّلات، وصل المهاجم جزئيا إلى مرحلة الاستغلال ثم فشل في الخطوة التالية. كما نزّل المهاجم صورة حاوية GitLab، مما يشير إلى ضبط للبناء الدقيق. لم تجد Alpine دليلا على تشغيل كود على الخادم، لكنها لا تستطيع استبعاد ذلك.

لماذا لم يُصلح الترقية ذلك

لم تُصلح الترقية إلى GitLab 19.3.6 في 22 أكتوبر الثغرة لأن الإصلاح هو تصحيح Ruby يُطبّق فقط في الحزم الرسمية لـ GitLab. استخدمت صورة Alpine نسخة Ruby قياسية، لذلك لم تحصل على التصحيح. يحتاج المشغّلون الذين يستخدمون Ruby الخاص بهم إلى 3.3.13 و3.4.12 و4.0.9 أو أحدث. يجب على مستخدمي alpinelinux/gitlab سحب alpinelinux/gitlab:19.3.6 مرة أخرى؛ الصورة المنشورة في 27 أكتوبر تحتوي Ruby 3.3.13. صور 19.3.6 الأقدم وجميع الوسوم الأقدم معرّضة للثغرة.

الفحوصات والتعريض المحتمل

تقول Alpine إنه لم يُتلاعب بـaports والحزم وإصدارات 21 أكتوبر. إصدارات 21 أكتوبر المستقرة هي 3.21.9 و3.22.7 و3.23.7 و3.24.3. الحزم المبنية من 20 إلى 24 أكتوبر أتت من التزامات aports تم التحقق منها مقابل سجلات خارج GitLab. لم تُعرَّض مفاتيح التوقيع، ولم تجد Alpine ملفات أو مفاتيح أو hooks أو عمليات غير متوقعة.

لا تزال Alpine غير متأكدة لأن استغلالا ناجحا لن يترك تعطّلا ولا أثرا في سجلات الويب. بعض سجلات يوم الهجوم فُقدت، بما في ذلك سجلات المهام الخلفية ونظام ملفات الحاوية القديمة. لم يكن هناك تسجيل لاتصالات الشبكة الصادرة، ومزود الاستضافة لا يحتفظ بأي منها. إذا نجح الهجوم، فقد تشمل البيانات المعرّضة عناوين البريد الإلكتروني للمستخدمين وأسماءهم وعناوين IP وتجزئات كلمات المرور وأسرار 2FA ومتغيرات CI/CD ورموز runner وبيانات اعتماد webhooks والتكاملات وpush mirrors وتجزئات رموز الوصول الشخصية، والمستودعات الخاصة مع issues وmerge requests سرية.

إعادة البناء وإجراءات المستخدم

أعادت Alpine بناء المثيل من الصفر، وأعادت ضبط جميع كلمات المرور، واستبدلت المفاتيح السرية لـ GitLab. يجري اختبار GitLab قبل إعادة فتحه. عند عودته، يجب على المستخدمين تعيين كلمة مرور جديدة باستخدام 'Forgot your password?' في صفحة تسجيل الدخول. يجب على أي شخص أعاد استخدام نفس كلمة المرور في مكان آخر تغييرها في ذلك الموقع؛ رأت Alpine محاولات تسجيل دخول آلية باستخدام كلمات مرور مسربة من مواقع أخرى. يمكن إرسال الأسئلة إلى [email protected].

تُغيّر Alpine أيضا إجراءاتها: يعمل المثيل المعاد بناؤه على Ruby مع الإصلاح؛ يجب تطبيق إصدارات GitLab الأمنية الحرجة خلال يوم، مع فحوصات لتصحيحات Ruby أو مكونات أخرى؛ ستُسجَّل اتصالات الشبكة الصادرة واتصالات قاعدة البيانات، وستُحفظ السجلات لأكثر من 14 يوما؛ وستُوقَّع وسوم الإصدار. بينما GitLab مغلق، تتوفر mirrors الحزم وcgit وقوائم البريد وIRC كالمعتاد.

المصادر: alpinelinux.org