Intentaron explotar una vulnerabilidad crítica de GitLab en la infraestructura de desarrollo de Alpine Linux los días 20 y 21 de octubre, lo que llevó al proyecto de código abierto a reconstruir su servidor de GitLab y restablecer todas las contraseñas ante la preocupación de una posible vulneración.

Los ataques se dirigieron al CVE-2026-97229, un fallo de ejecución remota de código de severidad máxima, provocando repetidamente la caída de los procesos de GitLab, y algunos intentos estuvieron cerca de tener éxito.

Aunque Alpine Linux no encontró pruebas de que los atacantes ejecutaran código o manipularan sus paquetes de software y versiones, no pudo descartar un compromiso exitoso debido a la falta de registros y de registros de conexiones salientes.

Enlace

"Dado que no podemos descartar la ejecución de código, y la evidencia que necesitaríamos para confirmarlo ya no existe, tomamos la ruta más difícil y reconstruimos la instancia de GitLab desde cero", explicó el equipo de Alpine Linux [fuente].

Alpine Linux es un sistema operativo pequeño y ligero ampliamente utilizado como base para imágenes de contenedores Docker que ejecutan aplicaciones y servicios.

Su instancia de GitLab alberga repositorios de desarrollo, revisiones de código y trabajos de CI, incluidas las recetas de construcción "aports" utilizadas para producir los paquetes de software de Alpine.

Esto lo convierte en un objetivo valioso de la cadena de suministro, ya que la manipulación de su entorno de GitLab podría afectar al software derivado.

El CVE-2026-97229 es una vulnerabilidad de desbordamiento de enteros de severidad máxima [NVD] en el compilador de expresiones regulares Onigmo de CI/CD de GitLab, incluido en Ruby, que podría permitir a atacantes no autenticados ejecutar código arbitrario en el servidor.

GitLab reveló el fallo y puso a disposición las correcciones el 12 de octubre, advirtiendo que los atacantes pueden activarlo bajo ciertas condiciones enviando una expresión regular especialmente diseñada en una configuración de canalización de CI/CD.

Alpine instaló inicialmente GitLab 19.3.4 en lugar de la versión parcheada, 19.3.5. Una actualización posterior a la 19.3.6 también falló en cerrar la brecha porque la corrección requería un parche para Ruby, que GitLab incluyó en sus paquetes oficiales pero que la imagen de contenedor personalizada de Alpine no incluía.

El 20 y 21 de octubre, el atacante envió configuraciones de CI maliciosas dirigidas al fallo, causando ocho caídas de los trabajadores; cuatro fueron parcialmente exitosas, aunque ninguna pareció completarse totalmente.

El equipo de Alpine Linux descubrió que los atacantes descargaron su imagen de contenedor de GitLab, lo que sugiere que podrían haber estado preparando un ataque a la cadena de suministro.

Tras investigar, Alpine no encontró manipulaciones en los commits del repositorio, paquetes o versiones hasta el 27 de octubre. Además, ninguna clave de firma pudo haber sido expuesta, ya que estas no se almacenan en el servidor de GitLab.

Si la explotación hubiera tenido éxito, la información potencialmente expuesta incluiría detalles de usuario, hashes de contraseñas, secretos de 2FA, secretos de CI/CD, credenciales de integración y contenido de proyectos privados, aunque no se ha confirmado el compromiso de ninguno de los anteriores.

Alpine aconseja a los usuarios restablecer sus contraseñas de GitLab y descargar la imagen alpinelinux/gitlab:19.3.6 publicada el 27 de octubre, que contiene Ruby 3.3.13 y soluciona el CVE-2026-97229.


Fuente:
BleepingComputer