Invasores tiveram como alvo a instância do GitLab da Alpine Linux usando a CVE-2026-97229, uma vulnerabilidade de transbordamento de inteiros de gravidade máxima no compilador de expressões regulares de CI/CD do GitLab, o Onigmo, que acompanha o Ruby. Sob certas condições, a falha poderia permitir que invasores não autenticados executassem código arbitrário por meio de uma expressão regular especialmente criada em uma configuração de pipeline de CI/CD.

Os ataques derrubaram repetidamente os processos do GitLab. A Alpine relatou oito falhas de workers, incluindo quatro parcialmente bem-sucedidas, embora nenhuma parecesse ter conseguido executar código. Os invasores também baixaram a imagem de contêiner do GitLab da Alpine, uma ação que, segundo o projeto, poderia indicar preparação para um ataque à cadeia de suprimentos.

Inicialmente, a Alpine implantou o GitLab 19.3.4 em vez da versão corrigida 19.3.5. Uma atualização posterior para a versão 19.3.6 não resolveu o problema porque o patch necessário do Ruby estava incluído nos pacotes oficiais do GitLab, mas ausente da imagem de contêiner personalizada da Alpine.

O projeto não encontrou evidências de que os invasores tenham executado código ou modificado commits de repositórios, pacotes de software ou lançamentos até 27 de outubro. Também afirmou que as chaves de assinatura não poderiam ter sido expostas porque não são armazenadas no servidor GitLab. No entanto, a ausência de registros e de dados sobre conexões de saída impediu a Alpine de excluir definitivamente a possibilidade de um comprometimento bem-sucedido.

Como precaução, a equipe da Alpine Linux reconstruiu a instância do GitLab do zero e redefiniu todas as senhas. O servidor hospeda repositórios de desenvolvimento, revisões de código e tarefas de CI, incluindo as receitas de compilação “aports” usadas para produzir pacotes da Alpine, o que o torna uma parte importante da cadeia de suprimentos de software do projeto.

A Alpine afirmou que uma exploração bem-sucedida poderia potencialmente ter exposto informações de usuários, hashes de senhas, segredos de autenticação de dois fatores, segredos de CI/CD, credenciais de integrações e conteúdo de projetos privados, embora tenha confirmado que nenhum desses ativos foi comprometido. Os usuários foram orientados a redefinir suas senhas do GitLab e a usar a imagem alpinelinux/gitlab:19.3.6 publicada em 27 de outubro, que inclui o Ruby 3.3.13 e corrige a CVE-2026-97229.

Fontes: BleepingComputer.