Alpine Linux пересобрала GitLab после попытки RCE-атаки

Проект Alpine Linux был вынужден полностью пересобрать свою инфраструктуру GitLab и сбросить все пользовательские пароли после того, как 20–21 октября хакеры попытались атаковать их системы. Инцидент затронул среду разработки популярной легковесной операционной системы, активно использующейся в качестве основы для Docker-контейнеров.

• Хакеры попытались проэксплуатировать критическую уязвимость CVE-2026-97229, вызывая сбои в процессах GitLab.
• Команда не нашла прямых доказательств выполнения кода, но не смогла полностью исключить взлом из-за нехватки логов.
• В качестве меры предосторожности экземпляр GitLab был полностью пересобран с нуля, а все пароли сброшены.

Детали атаки и уязвимость CVE-2026-97229 Атака была направлена на уязвимость CVE-2026-97229 максимальной степени опасности, которая представляет собой переполнение целых чисел в регулярном выражении Onigmo, поставляемом вместе с Ruby в составе GitLab. Эта уязвимость позволяет неаутентифицированным злоумышленникам выполнять произвольный код на сервере через специально сформированные конфигурации CI/CD конвейеров. Компания GitLab раскрыла этот недостаток и выпустила исправления еще 12 октября. Однако инфраструктура Alpine изначально использовала уязвимую версию 19.3.4 вместо патча 19.3.5, а последующее обновление до 19.3.6 не закрыло брешь, поскольку исправление требовало патча для Ruby, который отсутствовал в кастомном контейнере Alpine.

Масштаб угрозы и расследование безопасности В ходе инцидента 20–21 октября злоумышленники отправили вредоносные CI-конфигурации, которые привели к восьми аварийным завершениям рабочих процессов. Четыре попытки оказались частично успешными, хотя полного выполнения кода зафиксировано не было. Кроме того, хакеры скачали образ контейнера GitLab, что указывает на подготовку потенциальной атаки на цепочку поставок. Проведенное расследование до 27 октября не выявило никаких изменений в компиляциях репозиториев, пакетах или релизах программного обеспечения. Ключи подписи сохранности пакетов не пострадали, так как они вообще не хранятся на сервере GitLab. Тем не менее, в случае успешного взлома потенциально могли быть скомпрометированы данные пользователей, хэши паролей и секреты CI/CD.

Рекомендации и значение для разработчиков Для предотвращения дальнейших рисков команда Alpine Linux рекомендует пользователям обновить свои среды и использовать образ alpinelinux/gitlab:19.3.6, опубликованный 27 октября, в который уже интегрирована исправленная версия Ruby 3.3.13, закрывающая CVE-2026-97229. Также настоятельно рекомендуется сбросить пароли учетных записей. Этот инцидент подчеркивает критическую важность своевременного применения обновлений безопасности для инфраструктуры CI/CD. Поскольку инфраструктура Alpine служит фундаментом для тысяч Docker-образов по всему миру, любые компрометации репозиториев разработки могут нести серьезные риски для всей экосистемы открытого ПО.