Gli aggressori hanno preso di mira l’istanza GitLab di Alpine Linux sfruttando la CVE-2026-97229, una vulnerabilità di overflow intero con gravità massima nel compilatore di espressioni regolari di GitLab CI/CD, Onigmo, incluso in Ruby. In determinate condizioni, il difetto avrebbe potuto consentire ad aggressori non autenticati di eseguire codice arbitrario tramite un’espressione regolare appositamente predisposta nella configurazione di una pipeline CI/CD.
Gli attacchi hanno causato ripetutamente il crash dei processi di GitLab. Alpine ha segnalato otto crash dei worker, di cui quattro parzialmente riusciti, anche se nessuno sembrava aver ottenuto l’esecuzione di codice. Gli aggressori hanno inoltre scaricato l’immagine container di GitLab di Alpine, un’azione che, secondo il progetto, potrebbe indicare una preparazione a un attacco alla catena di approvvigionamento.
Inizialmente Alpine ha distribuito GitLab 19.3.4 invece della versione corretta 19.3.5. Un successivo aggiornamento alla versione 19.3.6 non ha risolto il problema perché la patch Ruby necessaria era inclusa nei pacchetti ufficiali di GitLab, ma mancava nell’immagine container personalizzata di Alpine.
Il progetto non ha trovato prove che gli aggressori abbiano eseguito codice o modificato commit dei repository, pacchetti software o release fino al 27 ottobre. Ha inoltre dichiarato che le chiavi di firma non avrebbero potuto essere esposte perché non sono archiviate sul server GitLab. Tuttavia, i log mancanti e l’assenza di registri delle connessioni in uscita hanno impedito ad Alpine di escludere definitivamente una compromissione riuscita.
Come misura precauzionale, il team di Alpine Linux ha ricostruito da zero l’istanza GitLab e reimpostato tutte le password. Il server ospita repository di sviluppo, revisioni del codice e job CI, comprese le ricette di compilazione “aports” utilizzate per produrre i pacchetti Alpine, risultando quindi una componente importante della catena di approvvigionamento software del progetto.
Alpine ha dichiarato che un exploit riuscito avrebbe potuto esporre potenzialmente informazioni sugli utenti, hash delle password, segreti dell’autenticazione a due fattori, segreti CI/CD, credenziali delle integrazioni e contenuti di progetti privati, sebbene abbia confermato che nessuno di questi asset è stato compromesso. Agli utenti è stato consigliato di reimpostare le password GitLab e utilizzare l’immagine alpinelinux/gitlab:19.3.6 pubblicata il 27 ottobre, che include Ruby 3.3.13 e risolve la CVE-2026-97229.
Fonti: BleepingComputer.