Das Open-Source-Projekt Alpine Linux hat seinen GitLab-Server komplett neu aufgebaut und alle Passwörter zurückgesetzt. Hintergrund sind Angriffsversuche auf eine kritische GitLab-Schwachstelle am 20. und 21. Oktober, berichtet BleepingComputer. Alpine fand keine Belege dafür, dass Angreifer Code ausgeführt oder Pakete manipuliert haben, konnte eine erfolgreiche Kompromittierung aber nicht ausschließen.

Die Lücke und warum der Patch nicht griff

Die Angriffe zielten auf CVE-2026-97229, eine Remote-Code-Execution-Lücke mit maximaler Schwere. Es handelt sich um einen Integer-Überlauf im Regex-Compiler Onigmo, der in Ruby enthalten ist und von GitLab für CI/CD-Konfigurationen genutzt wird. Über einen präparierten regulären Ausdruck in einer Pipeline-Konfiguration können nicht angemeldete Angreifer unter bestimmten Bedingungen Code auf dem Server ausführen. GitLab hatte die Lücke am 12. Oktober offengelegt und Korrekturen bereitgestellt.

Bei Alpine ging dabei einiges schief. Zunächst wurde GitLab 19.3.4 statt der korrigierten Version 19.3.5 installiert. Auch das spätere Upgrade auf 19.3.6 schloss die Lücke nicht, weil die Korrektur einen Ruby-Patch erforderte, den GitLab in seinen offiziellen Paketen mitliefert, den das eigene Container-Image von Alpine aber nicht enthielt.

Der Angriff

Am 20. und 21. Oktober reichte der Angreifer präparierte CI-Konfigurationen ein. Laut Alpine führten sie zu acht Abstürzen von Worker-Prozessen, vier davon waren teilweise erfolgreich, keiner schien aber vollständig durchzukommen. Zudem stellte das Team fest, dass die Angreifer das GitLab-Container-Image des Projekts heruntergeladen hatten, möglicherweise zur Vorbereitung eines Lieferkettenangriffs.

„Weil wir eine Codeausführung nicht ausschließen können und die Belege, die wir für eine Bestätigung bräuchten, nicht mehr existieren, haben wir den schwierigeren Weg gewählt“, erklärte das Team. Es fehlten Logs und Aufzeichnungen ausgehender Verbindungen.

Keine Manipulation an Paketen gefunden

Alpine fand bis zum 27. Oktober keine Manipulation an Commits, Paketen oder Releases. Signaturschlüssel waren nicht gefährdet, weil sie nicht auf dem GitLab-Server liegen. Hätte ein Angriff Erfolg gehabt, wären potenziell Benutzerdaten, Passwort-Hashes, 2FA-Secrets, CI/CD-Secrets, Zugangsdaten für Integrationen und private Projektinhalte betroffen. Alpine empfiehlt, GitLab-Passwörter zurückzusetzen und das am 27. Oktober veröffentlichte Image alpinelinux/gitlab:19.3.6 mit Ruby 3.3.13 zu verwenden.

Die Bedeutung ist groß: Alpine dient als Basis zahlloser Docker-Images. Auf dem GitLab-Server liegen unter anderem die „aports“-Bauanleitungen, aus denen die Pakete entstehen.

Was Nutzer tun sollten

Wer Alpine-Images nutzt, muss nach derzeitigem Stand nichts unternehmen, da keine Manipulation an Paketen gefunden wurde. Betreiber eigener GitLab-Instanzen sollten den Fall aber als Anlass nehmen, Patchstände genau zu prüfen und Logs so lange aufzubewahren, dass sich Vorfälle nachvollziehen lassen.