Alpine Linux CVE-2026-97229 istismar cəhdindən sonra GitLab-ı yenidən qurur

Alpine Linux oktyabrın 20 və 21-də GitLab nümunəsində kritik GitLab boşluğu CVE-2026-97229-dan istifadə etməyə cəhd edildiyini bildirdi. Nümunə oktyabrın 12-dəki düzəlişi olmayan GitLab 19.3.4 işlədirdi. Alpine uğur əldə edilməsinə dair sübut tapmadı, amma bunu istisna edə bilmədi, ona görə nümunəni sıfırdan yenidən qurdu və bütün parolları sıfırladı.

Boşluq və hücum

CVE-2026-97229 GitLab-ın CI konfiqurasiyasında müntəzəm ifadələri qiymətləndirməsində kritik boşluqdur, CVSS 10.0. Əsas xəta Ruby-yə daxil edilmiş Onigmo adlı müntəzəm ifadə mühərrikidir. GitLab oktyabrın 12-də düzəldilmiş relizlər dərc etdi, amma düzəliş GitLab-ın birlikdə gətirdiyi Ruby-yə tətbiq olunan yamaqlar toplusudur. Ruby-nin əsas layihəsi düzəlişi oktyabrın 23-də Ruby 3.3.13, 3.4.12 və 4.0.9 versiyalarında dərc etdi. CVE oktyabrın 13-də dərc edildikdən sonra Alpine səhvən düzəldilmiş 19.3.5 əvəzinə 19.3.4 versiyasına yüksəldi.

Oktyabrın 20 və 21-də yeni qeydiyyatdan keçmiş hesab nümunəyə hazırlanmış CI konfiqurasiyaları göndərdi. Bu, GitLab işçi proseslərini səkkiz dəfə çökdürdü. Dörd çökmədə hücumçu istismarda qismən irəlilədi və növbəti mərhələdə uğursuz oldu. Hücumçu həmçinin GitLab konteyner obrazını endirdi, bu isə dəqiq quraşdırmaya uyğunlaşdırma ehtimalını göstərir. Alpine serverdə kod işlədiyinə dair sübut tapmadı, amma bunu istisna edə bilmir.

Yüksəltmə niyə onu düzəltmədi

Oktyabrın 22-də GitLab 19.3.6 versiyasına yüksəltmək boşluğu düzəltmədi, çünki düzəliş yalnız GitLab-ın rəsmi paketlərində tətbiq olunan Ruby yamağıdır. Alpine-in obrazı standart Ruby istifadə etdi, ona görə yamağı almadı. Öz Ruby-lərini istifadə edən operatorlar 3.3.13, 3.4.12, 4.0.9 və ya daha sonrakı versiyalara ehtiyac duyur. alpinelinux/gitlab istifadəçiləri alpinelinux/gitlab:19.3.6 obrazını yenidən çəkməlidir; oktyabrın 27-də dərc olunan obraz Ruby 3.3.13 ehtiva edir. Əvvəlki 19.3.6 obrazları və bütün köhnə teqlər həssasdır.

Yoxlamalar və mümkün ifşa

Alpine deyir ki, aports, paketlər və oktyabrın 21 relizləri manipulyasiya olunmayıb. Oktyabrın 21 sabit relizləri 3.21.9, 3.22.7, 3.23.7 və 3.24.3-dür. Oktyabrın 20-dən 24-dək qurulan paketlər GitLab-dan kənarda qeydlərlə yoxlanılmış aports commit-lərindən gəlib. Heç bir imzalama açarı ifşa olunmayıb və Alpine gözlənilməz fayl, açar, hook və ya proses tapmayıb.

Alpine hələ də əmin ola bilmir, çünki uğurlu istismar nə çökmə, nə də veb jurnallarında iz buraxardı. Bəzi hücum günü jurnalları itib, o cümlədən fon işləri jurnalları və köhnə konteynerin fayl sistemi. Xaricə gedən şəbəkə bağlantlarının jurnalı yox idi və hosting provayderi heç birini saxlamır. Əgər hücum uğurlu olsaydı, ifşa oluna biləcək məlumatlara istifadəçi e-poçt ünvanları, adlar və IP ünvanları, parol heşləri, 2FA sirrləri, CI/CD dəyişənləri və runner tokenləri, webhook, inteqrasiya və push mirror etimadnamələri, şəxsi giriş token heşləri, həmçinin konfidensial məsələlər və birləşdirmə sorğuları olan özəl repozitoriyalar daxil ola bilərdi.

Yenidən qurma və istifadəçi hərəkətləri

Alpine nümunəni sıfırdan yenidən qurdu, bütün parolları sıfırladı və GitLab-ın sirr açarlarını əvəz etdi. GitLab yenidən açılmadan əvvəl sınaqdan keçirilir. Qayıtdıqda istifadəçilər daxil olma səhifəsindəki 'Forgot your password?' ilə yeni parol təyin etməlidirlər. Eyni parolu başqa yerdə təkrar istifadə edən hər kəs orada dəyişdirməlidir; Alpine digər saytlardan sızan parollardan istifadə edən avtomatlaşdırılmış giriş cəhdləri görüb. Sualar [email protected] ünvanına göndərilə bilər.

Alpine həmçinin prosesini dəyişir: yenidən qurulmuş nümunə düzəlişi olan Ruby ilə işləyir; kritik GitLab təhlükəsizlik relizləri bir gün ərzində tətbiq olunmalıdır, Ruby və ya digər komponent yamaqları üçün yoxlamalarla; xaricə gedən və verilənlər bazası bağlantıları jurnallaşdırılacaq və jurnallar 14 gündən uzun saxlanılacaq; və reliz teqləri imzalanacaq. GitLab bağlı olanda paket güzgüləri, cgit, poçt siyahıları və IRC adi rejimdə əlçatandır.

Mənbələr: alpinelinux.org