Alpine Linux baut GitLab nach fast erfolgreichem Exploit komplett neu auf
GitLab Security Incident: Attempted Exploitation of CVE-2026-97229
Ein Angreifer versuchte am 20. und 21. Oktober, die kritische Lücke CVE-2026-97229 in der GitLab-Instanz von Alpine Linux auszunutzen – eine Woche nach dem Fix. Der Exploit brachte GitLab-Worker achtmal zum Absturz und kam in vier Fällen bis kurz vor den entscheidenden Schritt. Alpine fand keine Beweise für eine Kompromittierung, schloss sie aber auch nicht aus und baute die Instanz deshalb von Grund auf neu. Pakete und Releases blieben unverändert.
Ein erfolgreicher Exploit würde keinen Absturz und keine Spur in den Web-Logs hinterlassen.
- JLO64
> Das Upgrade auf GitLab 19.3.6 am 22. Oktober hat die Schwachstelle nicht behoben. Der Fix steckt nicht im GitLab-eigenen Code, sondern in einem Patch für Ruby, den GitLab nur in seinen offiziellen Paketen anwendet. Unser Image verwendete Standard-Ruby, also bekam es den Patch nicht.
> Der Bug liegt in Rubys Regex-Engine, daher ist jedes Programm exponiert, das reguläre Ausdrücke aus nicht vertrauenswürdigen Eingaben kompiliert, nicht nur GitLab.
Ich habe das Gefühl, dass diese Ära ständiger Exploits/Patches wirklich schlecht ist für diejenigen, die aus dem Quellcode bauen oder eigene Images erstellen, im Vergleich zu denen, die sich auf bereitgestellte Images verlassen und diese häufig aktualisieren. Ich kann mir wirklich keine anständige Lösung für diese Leute vorstellen, außer rund um die Uhr mit den neuesten Nachrichten verbunden zu sein, was wirklich bedauerlich ist und erschöpfend sein muss ...
- akersten
> Wenn du unser alpinelinux/gitlab Container-Image verwendest, ziehe alpinelinux/gitlab:19.3.6 erneut. Das am 27. Oktober veröffentlichte Image enthält Ruby 3.3.13. Jedes 19.3.6-Image, das du vor dem 27. Oktober gezogen hast, und alle älteren Tags sind verwundbar.
Sollten sie nicht eine neue Version taggen, anstatt ein fehlerbereinigtes 19.3.6 erneut zu veröffentlichen, wenn frühere 19.3.6 verwundbar sind?
- rurban
Das passiert, wenn man existierenden, gut gepflegten Paketen nicht vertraut und sie lieber selbst neu schreibt. Onigmo sollte nicht existieren.
Linux hat genau dasselbe verstörende Not-Invented-Here-Syndrom, gute Features selbst neu zu schreiben und sie schlechter zu machen.
- cowlevel
Der Bug ist ein Integer Overflow in einer beliebigen C-Datenverarbeitungsbibliothek (genauer: bei Regexes), der zu RCE führt.
Wer hat seit dieser Woche auch genug von C-Bibliotheken?
- jtchang
Das ist ein fantastischer Bericht über den Sicherheitsvorfall. Bei fast jedem solchen Vorfall wird es Unbekanntes geben. Es ist gut, das explizit zu machen. Besonders gut gefallen hat mir der Teil darüber, was geleakt worden wäre, wenn der Angreifer erfolgreich gewesen wäre. Vielleicht könnten sie noch angeben, welcher Hash-Typ verwendet wurde.