Angreifer zielten mit CVE-2026-97229 auf die GitLab-Instanz von Alpine Linux. Dabei handelt es sich um eine Schwachstelle mit maximalem Schweregrad durch einen Integer-Überlauf im regulären Ausdrucks-Compiler Onigmo von GitLab CI/CD, der in Ruby enthalten ist. Unter bestimmten Bedingungen hätte die Schwachstelle nicht authentifizierten Angreifern ermöglichen können, durch einen speziell präparierten regulären Ausdruck in der Konfiguration einer CI/CD-Pipeline beliebigen Code auszuführen.
Die Angriffe brachten GitLab-Prozesse wiederholt zum Absturz. Alpine meldete acht Abstürze von Worker-Prozessen, darunter vier teilweise erfolgreiche, obwohl offenbar keiner die Ausführung von Code erreichte. Die Angreifer luden außerdem das GitLab-Container-Image von Alpine herunter – eine Handlung, die nach Angaben des Projekts auf Vorbereitungen für einen Angriff auf die Software-Lieferkette hindeuten könnte.
Alpine setzte zunächst GitLab 19.3.4 statt der korrigierten Version 19.3.5 ein. Ein anschließendes Upgrade auf 19.3.6 behob das Problem nicht, da der erforderliche Ruby-Patch zwar in den offiziellen GitLab-Paketen enthalten war, aber im benutzerdefinierten Container-Image von Alpine fehlte.
Das Projekt fand bis zum 27. Oktober keine Hinweise darauf, dass Angreifer Code ausgeführt oder Repository-Commits, Softwarepakete oder Releases verändert hatten. Außerdem erklärte es, dass Signaturschlüssel nicht offengelegt worden sein konnten, da sie nicht auf dem GitLab-Server gespeichert werden. Fehlende Protokolle und das Fehlen von Aufzeichnungen über ausgehende Verbindungen hinderten Alpine jedoch daran, eine erfolgreiche Kompromittierung definitiv auszuschließen.
Als Vorsichtsmaßnahme baute das Alpine-Linux-Team die GitLab-Instanz vollständig neu auf und setzte alle Passwörter zurück. Der Server hostet Entwicklungs-Repositories, Code-Reviews und CI-Jobs, darunter die „aports“-Build-Rezepte, die zur Erstellung von Alpine-Paketen verwendet werden, und ist damit ein wichtiger Bestandteil der Software-Lieferkette des Projekts.
Alpine erklärte, ein erfolgreicher Exploit hätte möglicherweise Benutzerinformationen, Passwort-Hashes, Geheimnisse der Zwei-Faktor-Authentifizierung, CI/CD-Geheimnisse, Zugangsdaten für Integrationen und Inhalte privater Projekte offenlegen können, bestätigte jedoch keine Kompromittierung dieser Ressourcen. Den Benutzern wurde empfohlen, ihre GitLab-Passwörter zurückzusetzen und das am 27. Oktober veröffentlichte Image alpinelinux/gitlab:19.3.6 zu verwenden, das Ruby 3.3.13 enthält und CVE-2026-97229 behebt.
Quellen: BleepingComputer.