Alpine Linux, RCE saldırı denemesinin ardından GitLab'ı sıfırdan kurdu

Öne çıkanlar

• Saldırganlar 20-21 Ekim’de GitLab’ın Onigmo regular expression derleyicisindeki en yüksek seviyeli, kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma açığı CVE-2026-97229’u kötü niyetli CI yapılandırmalarıyla hedefledi. Alpine’ın sunucusunda sekiz worker çöktü.
• Alpine, commit’lerde, paketlerde ve sürümlerde oynama bulamadı. Ama kayıtlar eksik olduğu için kod çalıştırıldığını dışlayamadı. Bunun üzerine sunucuyu sıfırdan kurdu ve tüm parolaları sıfırladı.
• Kullanıcılar GitLab parolalarını sıfırlamalı ve 27 Ekim’de yayımlanan, Ruby 3.3.13 içeren alpinelinux/gitlab:19.3.6 imajını çekmeli.

Saldırganlar 20-21 Ekim’de Alpine Linux’un geliştirme altyapısındaki GitLab sunucusunda kritik bir güvenlik açığını istismar etmeye çalıştı. Proje, ihlali dışlayamadığı için GitLab sunucusunu sıfırdan kurdu ve tüm parolaları sıfırladı.

Ayrıntılar

Saldırılar CVE-2026-97229’u hedefledi. Bu açık, GitLab’ın CI/CD regular expression derleyicisi Onigmo’daki en yüksek seviyeli bir integer overflow ve Ruby ile birlikte geliyor. Açık sayesinde kimlik doğrulaması gerektirmeyen bir saldırgan sunucuda istediği kodu çalıştırabiliyor. GitLab açığı 12 Ekim’de duyurdu ve düzeltmeleri erişime açtı. Saldırganların belirli koşullarda CI/CD pipeline yapılandırmasına özel hazırlanmış bir regular expression göndererek açığı tetikleyebileceği uyarısını da yaptı.

Alpine ilk olarak yamalı 19.3.5 yerine 19.3.4’ü kurdu. Sonraki 19.3.6 güncellemesi de açığı kapatamadı. Düzeltme, GitLab’ın resmi paketlerine eklediği bir Ruby yaması gerektiriyordu. Alpine’ın özel container imajı bu yamayı içermiyordu. 20-21 Ekim’de saldırgan açığı hedefleyen kötü niyetli CI yapılandırmaları gönderdi. Saldırı sekiz kez worker çökmesine yol açtı. Dört deneme kısmen başarılı oldu ama hiçbiri sonuna kadar ulaşmış görünmüyor.

Ekip, saldırganların Alpine’ın GitLab container imajını indirdiğini gördü. Bu, bir tedarik zinciri saldırısına hazırlık yapılmış olabileceğini gösteriyor. İnceleme, 27 Ekim’e kadar commit’lerde, paketlerde ve sürümlerde oynama bulamadı. İmzalama anahtarları GitLab sunucusunda tutulmadığı için ele geçmeleri söz konusu değildi. İstismar başarılı olsaydı kullanıcı bilgileri, parola hash’leri, 2FA gizli anahtarları, CI/CD secret’leri, entegrasyon kimlik bilgileri ve özel proje içerikleri açığa çıkabilirdi. Bunlardan birinin ele geçirildiği doğrulanmadı. Ekip şunu açıkladı: “Kod çalıştırıldığını dışlayamıyoruz ve bunu doğrulamak için gereken kanıtlar artık yok. Bu yüzden zor olan yolu seçtik ve GitLab’ı sıfırdan kurduk.”

Arka plan

Alpine Linux, uygulama ve servisleri çalıştıran Docker container imajlarına temel oluşturan küçük ve hafif bir işletim sistemi. GitLab kurulumu, geliştirme depolarını, kod incelemelerini ve CI işlerini barındırıyor. Bunlar arasında Alpine’ın paketlerini üretmek için kullanılan “aports” derleme tarifleri de var. GitLab ortamında yapılacak bir oynama, Alpine paketlerini kullanan yazılımları da etkileyebilir. Bu yüzden tedarik zinciri açısından değerli bir hedef.

Neden önemli

Olay, özel bir container imajının üreticinin pakete eklediği düzeltmeyi sessizce kaçırabildiğini gösteriyor. Alpine 19.3.6’ya güncellese de Ruby yaması imajında olmadığı için açık kapanmadı. GitLab’ı özel imajda çalıştıran ekipler, bağımlılık seviyesindeki yamaların gerçekten uygulandığını doğrulamalı. Kayıt eksikliği de tek başına, ihlal ihtimalini varsayıp hareket etmek için yeterli bir neden.

Ne yapmalı

• Alpine GitLab parolanızı sıfırlayın.
• 27 Ekim’de yayımlanan, Ruby 3.3.13 içeren ve CVE-2026-97229’u kapatan alpinelinux/gitlab:19.3.6 imajını çekin.
• GitLab’ı özel imajda çalıştırıyorsanız, bu CVE için Ruby yamasının imajda bulunduğunu doğrulayın.