Los atacantes dirigieron sus acciones contra la instancia de GitLab de Alpine Linux mediante CVE-2026-97229, una vulnerabilidad de desbordamiento de enteros de máxima gravedad en el compilador de expresiones regulares de GitLab para CI/CD, Onigmo, incluido en Ruby. En determinadas condiciones, el fallo podría permitir a atacantes no autenticados ejecutar código arbitrario mediante una expresión regular especialmente diseñada en la configuración de una canalización de CI/CD.
Los ataques provocaron repetidamente el cierre de procesos de GitLab. Alpine informó de ocho cierres de trabajadores, incluidos cuatro parcialmente exitosos, aunque ninguno pareció lograr la ejecución de código. Los atacantes también descargaron la imagen del contenedor de GitLab de Alpine, una acción que, según el proyecto, podría indicar una preparación para un ataque a la cadena de suministro.
Alpine desplegó inicialmente GitLab 19.3.4 en lugar de la versión corregida 19.3.5. Una actualización posterior a la versión 19.3.6 no resolvió el problema porque el parche de Ruby necesario estaba incluido en los paquetes oficiales de GitLab, pero faltaba en la imagen de contenedor personalizada de Alpine.
El proyecto no encontró pruebas de que los atacantes hubieran ejecutado código o modificado confirmaciones de repositorios, paquetes de software o versiones publicadas hasta el 27 de octubre. También indicó que las claves de firma no podrían haber quedado expuestas porque no se almacenan en el servidor de GitLab. Sin embargo, la ausencia de registros y de datos sobre conexiones salientes impidió a Alpine descartar definitivamente un compromiso exitoso.
Como medida de precaución, el equipo de Alpine Linux reconstruyó la instancia de GitLab desde cero y restableció todas las contraseñas. El servidor aloja repositorios de desarrollo, revisiones de código y trabajos de CI, incluidas las recetas de compilación “aports” utilizadas para producir paquetes de Alpine, lo que lo convierte en una parte importante de la cadena de suministro de software del proyecto.
Alpine indicó que una explotación exitosa podría haber expuesto potencialmente información de usuarios, hashes de contraseñas, secretos de autenticación de dos factores, secretos de CI/CD, credenciales de integraciones y contenido de proyectos privados, aunque confirmó que ninguno de esos activos había sido comprometido. Se recomendó a los usuarios restablecer sus contraseñas de GitLab y utilizar la imagen alpinelinux/gitlab:19.3.6 publicada el 27 de octubre, que incluye Ruby 3.3.13 y corrige CVE-2026-97229.
Fuentes: BleepingComputer.