WORLDTECHAlpine Linux ins Visier genommen: Ausnutzung einer GitLab-Lücke mit höchstem Schweregrad
Alpine Linux berichtet, dass ein Angreifer am 20. und 21. Oktober versucht hat, die Lücke CVE-2026-97229 mit höchstem Schweregrad in GitLab gegen die eigene GitLab-Instanz auszunutzen. Der Angriff scheiterte, dennoch baute die Linux-Distribution die Instanz von Grund auf neu auf und setzte alle Passwörter zurück.
Ablauf des Angriffs
Laut Alpine Linux nutzten die Angreifer ein neu registriertes Konto, um manipulierte CI-Konfigurationen an die GitLab-Instanz zu senden, wodurch der Worker-Prozess abstürzte. Die Distribution gibt an, dass der Versuch fehlschlug.
Die GitLab-Instanz wird vor der öffentlichen Freigabe weiterhin getestet. Zudem hat Alpine Linux alle Passwörter zurückgesetzt, da automatisierte Anmeldeversuche mit Passwörtern aus anderen Datenlecks beobachtet wurden.
Ursache liegt in Ruby
GitLab beschrieb den Fehler in einer Sicherheitsmitteilung vom 12. Oktober. Demnach hätte er es einem nicht authentifizierten Nutzer ermöglichen können, über einen speziell gestalteten regulären Ausdruck in einer CI/CD-Konfiguration beliebigen Code auf dem GitLab-Server auszuführen. Die als CVE-2026-97229 geführte Lücke erhielt einen CVSS-Wert von 10 von 10 und geht auf unzureichende Prüfung regulärer Ausdrücke in Onigmo zurück, der Engine für reguläre Ausdrücke in Ruby.
Da die Schwachstelle in Ruby und nicht in GitLab selbst steckt, wurde sie laut Alpine Linux durch das Update auf GitLab 19.3.6 nicht geschlossen. Das Image der Distribution nutzt Standard-Ruby, weshalb das Update von GitLab allein nicht reicht.
Reaktion der Behörden
Am Donnerstag nahm die US-Cybersicherheitsbehörde CISA die Lücke CVE-2026-97229 in ihren Katalog bekannt ausgenutzter Schwachstellen auf. Bundesbehörden sollen sie laut BOD 26-04 innerhalb von drei Tagen schließen.
Alpine Linux rät allen Betreibern, die GitLab mit eigenem Ruby betreiben, sei es aus dem Quellcode oder in einem eigenen Container-Image, zusätzlich Ruby 3.3.13, 3.4.12, 4.0.9 oder neuer zu installieren.
Offene Fragen
- Welche anderen GitLab-Installationen mit eigenem Ruby sind noch ungepatcht?
- Hat der Angreifer über den Absturz des Worker-Prozesses hinaus Zugriff erlangt?