Alpine Linux-მა CVE-2026-97229-ის ექსპლოიტირების მცდელობის შემდეგ GitLab ხელახლა ააწყო

Alpine Linux-მა განაცხადა, რომ თავდამსხმელმა 20 და 21 ოქტომბერს მის GitLab ინსტანციაზე კრიტიკული დაუცველობის CVE-2026-97229-ის გამოყენება სცადა. ინსტანცია GitLab-ის 19.3.4 ვერსიას უშვებდა 12 ოქტომბრის გამოსწორების გარეშე. Alpine-მა წარმატების მტკიცებულება არ აღმოაჩინა, თუმცა ამის გამორიცხვა ვერ შეძლო, ამიტომ ინსტანცია ნულიდან ხელახლა ააწყო და ყველა პაროლი განაახლა.

დაუცველობა და თავდასხმა

CVE-2026-97229 არის კრიტიკული დაუცველობა (CVSS 10.0) იმაში, თუ როგორ ამუშავებს GitLab რეგულარულ გამოსახულებებს CI კონფიგურაციაში. თავად ხარვეზი Onigmo-შია, Ruby-ში ჩაშენებულ რეგულარული გამოსახულებების ძრავში. GitLab-მა გამოსწორებული რელიზები 12 ოქტომბერს გამოაქვეყნა, თუმცა გამოსწორება Ruby-ის პატჩების ნაკრებია, რომელსაც GitLab საკუთარ პაკეტებში აყოლებს. Ruby-ის ძირითადმა პროექტმა გამოსწორება 23 ოქტომბერს Ruby 3.3.13, 3.4.12 და 4.0.9 ვერსიებში გამოუშვა. 13 ოქტომბერს CVE-ის გამოქვეყნების შემდეგ Alpine-მა შეცდომით 19.3.5-ის ნაცვლად 19.3.4-ზე განაახლა.

რატომ არ გამოასწორა განახლებამ

22 ოქტომბერს GitLab-ის 19.3.6 ვერსიაზე გადასვლამ დაუცველობა არ გამოასწორა, რადგან გამოსწორება Ruby-ის პატჩია, რომელიც მხოლოდ GitLab-ის ოფიციალურ პაკეტებში გამოიყენება. Alpine-ის იმიჯი სტანდარტულ Ruby-ს იყენებდა, ამიტომ პატჩი არ მიიღო. ვისაც საკუთარი Ruby-ს იყენებს, მათ 3.3.13, 3.4.12, 4.0.9 ან უფრო ახალი ვერსია სჭირდება. alpinelinux/gitlab-ის მომხმარებლებმა alpinelinux/gitlab:19.3.6 ხელახლა უნდა გადმოწერონ; 27 ოქტომბერს გამოქვეყნებული იმიჯი Ruby 3.3.13-ს შეიცავს. უფრო ადრეული 19.3.6 იმიჯები და ყველა ძველი ტეგი დაუცველია.

შემოწმებები და შესაძლო გამჟღავნება

Alpine-ის თქმით, aports-ში, პაკეტებსა და 21 ოქტომბრის რელიზებში ჩარევა არ მომხდარა. 21 ოქტომბრის სტაბილური რელიზებია 3.21.9, 3.22.7, 3.23.7 და 3.24.3. 20-დან 24 ოქტომბრამდე აგებული პაკეტები aports-ის იმ კომიტებიდან მოდიოდა, რომლებიც GitLab-ის გარეთ არსებულ ჩანაწერებთან იყო შედარებული. ხელმოწერის გასაღებები არ გამჟღავნდა და Alpine-მა მოულოდნელი ფაილები, გასაღებები, ჰუკები ან პროცესები არ აღმოაჩინა.

Alpine მაინც ვერ იძლევა გარანტიას, რადგან წარმატებული ექსპლოიტი არც ავარიას დატოვებდა, არც ვებ-ჟურნალებში კვალს. თავდასხმის დღის ზოგიერთი ჟურნალი დაკარგულია, მათ შორის ფონური დავალებების ჟურნალები და ძველი კონტეინერის ფაილური სისტემა. გამავალი ქსელური კავშირები არ იწერებოდა და ჰოსტინგის პროვაიდერიც არ ინახავს მათ. თუ თავდასხმა წარმატებული იყო, გამჟღავნებულ მონაცემებში შეიძლება შედიოდეს მომხმარებლების ელფოსტის მისამართები, სახელები და IP მისამართები, პაროლების ჰეშები, 2FA-ს საიდუმლოებები, CI/CD ცვლადები და რანერების ტოკენები, ვებჰუკების, ინტეგრაციებისა და ფუშ-სარკეების წვდომის მონაცემები, პირადი წვდომის ტოკენების ჰეშები, ასევე კონფიდენციალური საკითხებითა და შერწყმის მოთხოვნებით პირადი რეპოზიტორიები.

ხელახალი აწყობა და მოქმედებები მომხმარებლებისთვის

Alpine-მა ინსტანცია ნულიდან ხელახლა ააწყო, ყველა პაროლი განაახლა და GitLab-ის საიდუმლო გასაღებები შეცვალა. GitLab-ს ხელახლა გახსნამდე ტესტავენ. როდესაც დაბრუნდება, მომხმარებლებმა შესვლის გვერდზე „Forgot your password?“-ით ახალი პაროლი უნდა დააყენონ. ვინც იგივე პაროლი სხვაგანაც გამოიყენა, იქ უნდა შეცვალოს; Alpine-მა სხვა საიტებიდან გაჟონილი პაროლებით ავტომატური შესვლის მცდელობები დაინახა. კითხვები შეიძლება გაიგზავნოს [email protected]ზე.

Alpine პროცესსაც ცვლის: ხელახლა აწყობილი ინსტანცია Ruby-ის გამოსწორებულ ვერსიას იყენებს; GitLab-ის კრიტიკული უსაფრთხოების რელიზები ერთ დღეში უნდა გამოიყენონ და თითოეულ რელიზში Ruby-ის ან სხვა კომპონენტების პატჩები შეამოწმონ; გამავალი და მონაცემთა ბაზის კავშირები ჩაიწერება, ჟურნალები კი 14 დღეზე მეტ ხანს შეინახება; რელიზების ტეგები ხელმოწერილი იქნება. სანამ GitLab დაკეტილია, პაკეტების სარკეები, cgit, საფოსტო სიები და IRC ჩვეულებრივად ხელმისაწვდომია.

წყაროები: alpinelinux.org