Alpine Linux, CVE-2026-97229 saldırı girişimi sonrası GitLab'ı yeniden kurdu

Alpine Linux, GitLab örneğinde 20 ve 21 Ekim tarihlerinde CVE-2026-97229 kritik güvenlik açığını kullanma girişiminde bulunulduğunu söyledi. Örnek, 12 Ekim düzeltmesini içermeyen GitLab 19.3.4 sürümünü çalıştırıyordu. Alpine, başarılı bir saldırıya dair kanıt bulamadı ama bunu dışlayamadı; bu nedenle örneği baştan yeniden kurdu ve tüm parolaları sıfırladı.

Güvenlik açığı ve saldırı

CVE-2026-97229, CI yapılandırmasında GitLab'ın düzenli ifadeleri değerlendirmesindeki kritik bir güvenlik açığıdır ve CVSS 10.0 puanına sahiptir. Temel hata, Ruby'ye yerleşik düzenli ifade motoru Onigmo'dadır. GitLab 12 Ekim'de düzeltilmiş sürümler yayımladı, ancak düzeltme GitLab'ın birlikte sunduğu Ruby'ye uygulanan bir yama setidir. Ruby'nin ana projesi, düzeltmeyi 23 Ekim'de Ruby 3.3.13, 3.4.12 ve 4.0.9 sürümlerinde yayımladı. CVE 13 Ekim'de yayımlandıktan sonra Alpine, yanlışlıkla düzeltilmiş 19.3.5 yerine 19.3.4 sürümüne yükseltti.

20 ve 21 Ekim'de yeni kaydedilmiş bir hesap, örneğe hazırlanmış CI yapılandırmaları gönderdi. Bu, GitLab çalışan süreçlerini sekiz kez çökertti. Dört çökmede saldırgan istismarda kısmen ilerledi ve sonraki adımda başarısız oldu. Saldırgan ayrıca tam yapıya uyarlama olasılığını düşündüren GitLab konteyner görüntüsünü indirdi. Alpine, sunucuda kod çalıştığına dair kanıt bulamadı, ancak bunu dışlayamadı.

Yükseltme neden onu düzeltmedi

22 Ekim'de GitLab 19.3.6 sürümüne yükseltmek güvenlik açığını düzeltmedi, çünkü düzeltme yalnızca GitLab'ın resmi paketlerinde uygulanan bir Ruby yamasıdır. Alpine'nin görüntüsü standart Ruby kullandı, bu nedenle yamayı almadı. Kendi Ruby'sini kullanan yöneticiler 3.3.13, 3.4.12, 4.0.9 veya daha yeni sürümlere ihtiyaç duyar. alpinelinux/gitlab kullanıcıları alpinelinux/gitlab:19.3.6 görüntüsünü yeniden çekmelidir; 27 Ekim'de yayımlanan görüntü Ruby 3.3.13 içerir. Daha önceki 19.3.6 görüntüleri ve tüm eski etiketler etkilenmeye açıktır.

Kontroller ve olası maruziyet

Alpine, aports, paketler ve 21 Ekim sürümlerinin değiştirilmediğini söyledi. 21 Ekim'deki kararlı sürümler 3.21.9, 3.22.7, 3.23.7 ve 3.24.3'tür. 20 ila 24 Ekim arasında üretilen paketler, GitLab dışındaki kayıtlara karşı doğrulanan aports commit'lerinden geldi. İmza anahtarları açığa çıkmadı ve Alpine beklenmeyen dosya, anahtar, kanca veya süreç bulamadı.

Alpine yine de emin olamıyor, çünkü başarılı bir istismar ne çökme ne de web günlüklerinde iz bırakırdı. Saldırı gününe ait bazı günlükler kayboldu; buna arka plan iş günlükleri ve eski konteynerin dosya sistemi dahildir. Giden ağ bağlantılarının günlüğü yoktu ve barındırma sağlayıcısı da bunları saklamıyor. Saldırı başarılı olduysa açığa çıkabilecek veriler arasında kullanıcı e-posta adresleri, adlar ve IP adresleri, parola hash'leri, 2FA sırları, CI/CD değişkenleri ve çalıştırıcı token'ları, webhook'lar, tümleştirmeler ve push mirror'lar için kimlik bilgileri, kişisel erişim token hash'leri ile gizli sorunlar ve birleştirme istekleri içeren özel depolar bulunur.

Yeniden kurma ve kullanıcı eylemleri

Alpine örneği baştan yeniden kurdu, tüm parolaları sıfırladı ve GitLab'ın gizli anahtarlarını değiştirdi. GitLab yeniden açılmadan önce test ediliyor. Döndüğünde kullanıcılar oturum açma sayfasındaki 'Forgot your password?' seçeneğiyle yeni bir parola belirlemelidir. Aynı parolayı başka yerde de kullanan herkes orada değiştirmelidir; Alpine, başka sitelerden sızan parolaları kullanan otomatik oturum açma girişimleri görmüştür. Sorular [email protected] adresine gönderilebilir.

Alpine sürecini de değiştiriyor: yeniden kurulan örnek düzeltmeyi içeren Ruby ile çalışıyor; kritik GitLab güvenlik sürümleri bir gün içinde uygulanmalıdır ve Ruby veya diğer bileşen yamaları için kontroller yapılmalıdır; giden ve veritabanı bağlantıları günlüğe kaydedilecek ve günlükler 14 günden daha uzun süre saklanacak; ve sürüm etiketleri imzalanacak. GitLab kapalıyken paket yansımaları, cgit, posta listeleri ve IRC normal olarak kullanılabilir.

Kaynaklar: alpinelinux.org