Linux-distributie Alpine Linux aangevallen via kritiek GitLab-lek

[Captain Kirk]

Aanvallers hebben geprobeerd om de GitLab-server van Linux-distributie Alpine Linux te hacken, zo hebben de ontwikkelaars zelf bekendgemaakt. Het ontwikkelteam zegt dat het geen bewijs van een succesvolle hack heeft gevonden, maar kan dit ook niet uitsluiten. Daarom werd besloten om de GitLab-server als gehackt te beschouwen en volledig van de grond af op te bouwen.

Alpine Linux omschrijft zich als een op security gerichte, lichtgewicht Linux-distributie. GitLab is een populaire online DevOps-tool voor het opslaan, beheren en ontwikkelen van software, waar ook Alpine Linux gebruik van maakt. Op 12 oktober waarschuwde GitLab voor een kritieke kwetsbaarheid in de software, aangeduid als CVE-2026-97229. Het gaat om een integer overflow waardoor een ongeauthenticeerde aanvaller via een malafide CI/CD-configuratie willekeurige code op de GitLab-server kan uitvoeren.

De kwetsbaarheid heeft een CVSS-impactscore van 10.0 op een schaal van 1 tot en met 10. Alpine Linux installeerde op 13 oktober door een fout GitLab versie 19.3.4, die nog steeds kwetsbaar was, in plaats van GitLab versie 19.3.5. Op 20 en 21 oktober stuurde een nieuw geregistreerde account speciaal geprepareerde CI-configuraties naar de GitLab-server van Alpine Linux, die nog steeds een kwetsbare versie draaide. Door de aanval crashte het GitLab worker proces op de server acht keer. Bij vier van de crashes kwam de aanvaller iets verder met het uitvoeren van de exploit, maar mislukte de volgende stap.

De aanvaller downloadde ook de GitLab container image waar Alpine Linux gebruik van maakt, vermoedelijk om de exploit op de gebruikte build af te stellen. Het ontwikkelteam zegt geen bewijs te hebben gevonden dat de aanvaller code op de GitLab-server heeft uitgevoerd, maar kan dit ook niet uitsluiten. Het ontwikkelteam zegt verder dat het upgraden naar GitLab 19.3.6 op 22 oktober het probleem niet verhielp. Deze versie was een dag eerder uitgekomen.

"De fix zit niet in de eigen code van GitLab, maar in een patch voor Ruby, die GitLab alleen toepast in de eigen officiële packages. Onze image gebruikt standaard Ruby en ontving dus niet de patch", aldus de ontwikkelaars van Alpine Linux. Die stellen dat bij GitLab-servers met een eigen Ruby het installeren van de GitLab-update niet voldoende is, maar ook een Ruby-update is vereist. Het opnieuw opbouwen van de GitLab-server werd gisteren afgerond. Daarbij zijn alle wachtwoorden gereset en alle GitLab secret keys vervangen.

 

bron: https://www.security.nl