Alpine Linux-ը վերակառուցում է GitLab-ը CVE-2026-97229-ի փորձված շահագործումից հետո

Alpine Linux-ը հայտնել է, որ հարձակվողը փորձել է շահագործել GitLab-ի կրիտիկական CVE-2026-97229 խոցելիությունը հոկտեմբերի 20-ին և 21-ին։ Համակարգը աշխատում էր GitLab 19.3.4-ով՝ առանց հոկտեմբերի 12-ի շտկման։ Alpine-ը հաջողության ապացույց չի գտել, բայց չի կարող բացառել այն, հետևաբար վերակառուցել է զրոյից և վերակայել բոլոր գաղտնաբառերը։

Խոցելիությունը և հարձակումը

CVE-2026-97229-ը կրիտիկական խոցելիություն է՝ CVSS 10.0, GitLab-ի կողմից CI կազմաձևման մեջ կանոնավոր արտահայտությունների գնահատման ձևում։ Հիմնական սխալը Onigmo-ում է՝ Ruby-ի ներկառուցված կանոնավոր արտահայտությունների շարժիչում։ GitLab-ը հոկտեմբերի 12-ին հրապարակել է շտկված թողարկումներ, բայց շտկումը Ruby-ի կարկատների հավաքածու է, որը GitLab կիրառում է միայն իր փաթեթներում։ Ruby-ի հիմնական ճյուղը շտկումը հրապարակել է հոկտեմբերի 23-ին՝ 3.3.13, 3.4.12, 4.0.9։ CVE-ի հրապարակումից հետո՝ հոկտեմբերի 13-ին, Alpine-ը սխալմամբ թարմացրել է 19.3.4-ին՝ ոչ թե 19.3.5-ին։

Հոկտեմբերի 20-21-ին նոր հաշիվ ուղարկել է մշակված CI կազմաձևումներ։ Սա ութ անգամ փլուզել է GitLab-ի աշխատող պրոցեսները։ Չորս դեպքում հարձակվողը շահագործման կեսին է հասել և ձախողվել հաջորդ քայլում։ Նա նաև ներբեռնել է GitLab կոնտեյներային պատկերը՝ ենթադրելով ճշգրիտ կառուցվածքի համապատասխանեցում։ Alpine-ը սերվերում կոդի կատարման ապացույց չի գտել, բայց չի կարող բացառել այն։

Ինչու թարմացումը չի շտկել խոցելիությունը

Հոկտեմբերի 22-ի GitLab 19.3.6 թարմացումը չի շտկել խոցելիությունը, քանի որ շտկումը Ruby-ի կարկատ է, որը կիրառվում է միայն GitLab-ի պաշտոնական փաթեթներում։ Alpine-ի պատկերը օգտագործում էր ստանդարտ Ruby, ուստի չի ստացել կարկատը։ Սեփական Ruby օգտագործող օպերատորներին անհրաժեշտ է 3.3.13, 3.4.12, 4.0.9 կամ ավելի նոր։ alpinelinux/gitlab օգտատերերը պետք է կրկին ներբեռնեն alpinelinux/gitlab:19.3.6; հոկտեմբերի 27-ի պատկերը պարունակում է Ruby 3.3.13։ Ավելի վաղ 19.3.6 պատկերները և բոլոր հին պիտակները խոցելի են։

Ստուգումներ և հնարավոր արտահոսք

Alpine-ը հայտնում է, որ aports-ը, փաթեթները և հոկտեմբերի 21-ի թողարկումները չեն փոփոխվել։ Հոկտեմբերի 21-ի կայուն թողարկումներն են 3.21.9, 3.22.7, 3.23.7 և 3.24.3։ Հոկտեմբերի 20-24-ի փաթեթները ստացվել են aports կոմիտներից, որոնք ստուգվել են GitLab-ից դուրս գրանցումների հետ։ Ոչ մի ստորագրման բանալի չի բացահայտվել, և Alpine-ը անսպասելի ֆայլեր, բանալիներ, հուկեր կամ պրոցեսներ չի գտել։

Alpine-ը դեռ չի կարող վստահ լինել, քանի որ հաջող շահագործումը չէր թողնի փլուզում կամ հետք վեբ լոգերում։ Հարձակման օրվա որոշ լոգեր անհետ են, այդ թվում՝ ֆոնային աշխատանքների լոգերը և հին կոնտեյների ֆայլային համակարգը։ Ելքային ցանցային կապերը չէին լոգավորվում, և հոսթինգ մատակարարը դրանք չի պահում։ Եթե հարձակումը հաջողվել է, արտահոսած տվյալները կարող են ներառել օգտատերերի էլփոստի հասցեները, անունները և IP հասցեները, գաղտնաբառերի հեշերը, 2FA գաղտնիքները, CI/CD փոփոխականները և ռանների տոկենները, վեբհուկերի, ինտեգրումների և push mirror-ների հավատարմագրերը, անձնական մուտքի տոկենների հեշերը, ինչպես նաև գաղտնի խնդիրներ և merge request-ներ պարունակող մասնավոր պահոցները։

Վերակառուցում և օգտատերերի գործողություններ

Alpine-ը վերակառուցել է համակարգը զրոյից, վերակայել բոլոր գաղտնաբառերը և փոխարինել GitLab-ի գաղտնի բանալիները։ GitLab-ը փորձարկվում է մինչև վերաբացումը։ Երբ վերադառնա, օգտատերերը պետք է սահմանեն նոր գաղտնաբառ՝ մուտքի էջում օգտագործելով 'Forgot your password?' հղումը։ Նույն գաղտնաբառը այլ տեղ օգտագործած յուրաքանչյուրը պետք է այնտեղ փոխի; Alpine-ը տեսել է ավտոմատացված մուտքի փորձեր՝ այլ կայքերից արտահոսած գաղտնաբառերով։ Հարցերը կարելի է ուղարկել [email protected] հասցեին։

Alpine-ը նաև փոխում է իր գործընթացը՝ վերակառուցված համակարգը աշխատում է շտկված Ruby-ով; կրիտիկական GitLab անվտանգության թողարկումները պետք է կիրառվեն մեկ օրվա ընթացքում, իսկ Ruby-ի կամ այլ բաղադրիչների կարկատների ստուգումներով; ելքային և տվյալների բազայի կապերը կլոգավորվեն, իսկ լոգերը կպահվեն 14 օրից ավելի; և թողարկման պիտակները կստորագրվեն։ GitLab-ի փակ լինելու ընթացքում փաթեթների հայելիները, cgit-ը, փոստային ցուցակները և IRC-ը հասանելի են սովորական ռեժիմով։

Աղբյուրներ: alpinelinux.org