Alpine Linux、GitLabへの攻撃を「成功を否定できず」として一から再構築
GitLab Security Incident: Attempted Exploitation of CVE-2026-97229
Alpine Linuxは、攻撃者がGitLabの脆弱性CVE-2026-97229を悪用しようとしたと発表した。修正から1週間後、未適用のまま稼働していたインスタンスに対し、新規アカウントから細工したCI設定が送られ、ワーカープロセスが8回クラッシュ。コード実行の証拠はないものの否定もできず、インスタンスを侵害されたものとして再構築した。aportsやパッケージ、リリースへの改ざんは確認されていない。
成功したエクスプロイトはクラッシュも残さず、Webログにも痕跡を残さない。
HNでの議論
62- JLO64
10月22日にGitLab 19.3.6へアップグレードしても脆弱性は修正されなかった。修正はGitLab自身のコードにあるのではなく、Rubyへのパッチにあり、GitLabは公式パッケージでのみそれを適用している。我々のイメージは標準のRubyを使っていたので、パッチは当たらなかった。
バグはRubyの正規表現エンジンにあるので、信頼できない入力から正規表現をコンパイルするあらゆるプログラムが影響を受ける。GitLabだけではない。
この絶え間ないエクスプロイト／パッチの時代は、提供されたイメージに頼って頻繁にアップグレードする人々に比べて、ソースからビルドしたり自前のイメージを作ったりする人々にとって本当に厳しいと感じる。そういう人たちにとっては、最新ニュースに24時間365日張り付く以外にまともな解決策が思いつかない。本当に残念だし、疲れ果てるに違いない……。
- akersten
> alpinelinux/gitlabコンテナイメージを使っているなら、alpinelinux/gitlab:19.3.6をもう一度pullしてほしい。10月27日に公開されたイメージにはRuby 3.3.13が含まれている。10月27日より前にpullした19.3.6のイメージと、それ以前のすべてのタグは脆弱だ。
以前の19.3.6が脆弱なら、修正済みの19.3.6を再リリースするのではなく、新しいバージョンをタグ付けすべきではないのか？
- rurban
これは、既存のよくメンテナンスされたパッケージを信頼せず、むしろ自分たちで書き直すと起こることだ。Onigmoは存在すべきではない。
Linuxも同じように厄介なnot invented here症候群を抱えており、優れた機能を自分たちで書き直して、より悪くしてしまっている。
- cowlevel
バグは、とあるランダムなCのデータ処理ライブラリ（具体的には正規表現）における整数オーバーフローで、RCEにつながる。
今週になってCライブラリにうんざりしているのは他に誰だ？
- jtchang
これはセキュリティインシデントに関する素晴らしい記事だ。この種のインシデントにはほぼ必ず不明点がある。それを明示するのは良いことだ。特に、攻撃者が成功していた場合に何が漏洩していたかという部分が気に入った。使われたハッシュの種類も含めればよかったかもしれない。