Des attaquants ont ciblé l’instance GitLab d’Alpine Linux avec la vulnérabilité CVE-2026-97229, une faille de dépassement d’entier de gravité maximale dans le compilateur d’expressions régulières CI/CD de GitLab, Onigmo, fourni avec Ruby. Dans certaines conditions, la faille pouvait permettre à des attaquants non authentifiés d’exécuter du code arbitraire au moyen d’une expression régulière spécialement conçue dans la configuration d’un pipeline CI/CD.
Les attaques ont provoqué à plusieurs reprises l’arrêt brutal de processus GitLab. Alpine a signalé huit plantages de workers, dont quatre partiellement réussis, même si aucun ne semblait être parvenu à exécuter du code. Les attaquants ont également téléchargé l’image de conteneur GitLab d’Alpine, une action qui, selon le projet, pouvait indiquer la préparation d’une attaque de la chaîne d’approvisionnement.
Alpine a initialement déployé GitLab 19.3.4 au lieu de la version corrigée 19.3.5. Une mise à niveau ultérieure vers la version 19.3.6 n’a pas résolu le problème, car le correctif Ruby nécessaire était inclus dans les paquets officiels de GitLab, mais absent de l’image de conteneur personnalisée d’Alpine.
Le projet n’a trouvé aucune preuve que les attaquants aient exécuté du code ou modifié des commits de dépôts, des paquets logiciels ou des versions jusqu’au 27 octobre. Il a également indiqué que les clés de signature n’auraient pas pu être exposées, car elles ne sont pas stockées sur le serveur GitLab. Cependant, l’absence de certains journaux et de relevés des connexions sortantes a empêché Alpine d’exclure définitivement une compromission réussie.
Par précaution, l’équipe d’Alpine Linux a reconstruit l’instance GitLab à partir de zéro et réinitialisé tous les mots de passe. Le serveur héberge des dépôts de développement, des révisions de code et des tâches CI, notamment les recettes de compilation « aports » utilisées pour produire les paquets Alpine, ce qui en fait un élément important de la chaîne d’approvisionnement logicielle du projet.
Alpine a indiqué qu’un exploit réussi aurait potentiellement pu exposer des informations sur les utilisateurs, des hachages de mots de passe, des secrets d’authentification à deux facteurs, des secrets CI/CD, des identifiants d’intégration et le contenu de projets privés, tout en confirmant qu’aucune compromission de ces éléments n’avait été constatée. Les utilisateurs ont été invités à réinitialiser leurs mots de passe GitLab et à utiliser l’image alpinelinux/gitlab:19.3.6 publiée le 27 octobre, qui inclut Ruby 3.3.13 et corrige la vulnérabilité CVE-2026-97229.
Sources: BleepingComputer.