آلپاین لینوکس GitLab را پس از تلاش برای حمله RCE بازسازی می کند

هکرها در تاریخ 20 تا 21 اکتبر از یک آسیب‌پذیری مهم GitLab در زیرساخت توسعه Alpine Linux سوء استفاده کردند که باعث شد پروژه متن‌باز دوباره سرور GitLab خود را بازسازی کند و همه رمزهای عبور را به دلیل نگرانی از احتمال به خطر انداختن بازنشانی کند.

این حملات CVE-2026-97229 را هدف قرار دادند، یک نقص اجرای کد از راه دور با حداکثر شدت، که مکررا فرآیندهای GitLab را از کار می‌اندازد و برخی از تلاش‌ها به موفقیت نزدیک می‌شدند.

اگرچه آلپاین لینوکس هیچ مدرکی مبنی بر اجرای کد یا دستکاری بسته‌های نرم‌افزاری و نسخه‌های آن توسط مهاجمان پیدا نکرد، اما به دلیل عدم وجود گزارش‌ها و فقدان سوابق اتصال خروجی، نتوانست موفقیت‌آمیز را رد کند.

تیم آلپاین لینوکس توضیح داد: «از آنجایی که نمی‌توانیم اجرای کد را رد کنیم و شواهدی که برای تأیید آن نیاز داریم دیگر وجود ندارد، مسیر سخت‌تری را در پیش گرفتیم و نمونه GitLab را از ابتدا بازسازی کردیم».

آلپاین لینوکس یک سیستم عامل کوچک و سبک است که به طور گسترده به عنوان پایه و اساس تصاویر کانتینر Docker که برنامه ها و سرویس ها را اجرا می کند، استفاده می شود.

نمونه GitLab آنها میزبان مخازن توسعه، بررسی کد و کارهای CI است، از جمله دستور العمل های ساخت "aports" که برای تولید بسته های نرم افزاری Alpine استفاده می شود.

این آن را به یک هدف زنجیره تامین ارزشمند تبدیل می کند، زیرا دستکاری در محیط GitLab آنها می تواند بر نرم افزارهای پایین دستی تأثیر بگذارد.

CVE-2026-97229 یک آسیب‌پذیری سرریز اعداد صحیح با حداکثر شدت در کامپایلر عبارات منظم CI/CD GitLab، Onigmo، همراه در Ruby است که می‌تواند به مهاجمان احراز هویت نشده اجازه دهد تا کد دلخواه را روی سرور اجرا کنند.

GitLab این نقص را فاش کرد و در 12 اکتبر اصلاحات را در دسترس قرار داد و هشدار داد که مهاجمان می توانند تحت شرایط خاصی با ارسال یک عبارت منظم ساخته شده ویژه در یک پیکربندی خط لوله CI/CD، آن را فعال کنند.

Alpine در ابتدا GitLab 19.3.4 را به جای نسخه وصله شده 19.3.5 نصب کرد. ارتقاء بعدی به 19.3.6 نیز نتوانست این نقص را ببندد، زیرا اصلاح به یک پچ برای Ruby نیاز داشت که GitLab آن را با بسته‌های رسمی خود همراه کرد اما تصویر کانتینر سفارشی Alpine شامل آن نمی‌شد.

در 20 تا 21 اکتبر، مهاجم پیکربندی‌های مخرب CI را ارائه کرد که این نقص را هدف قرار می‌داد و باعث سقوط هشت کارگر شد. چهار تا حدی موفق بودند، هر چند به نظر می‌رسید که هیچ کدام تا آخر راه را طی نکرده باشند.

تیم آلپاین لینوکس متوجه شد که مهاجمان تصویر ظرف GitLab آن را دانلود کرده‌اند، که نشان می‌دهد ممکن است در حال آماده‌سازی یک حمله زنجیره تامین بوده باشند.

پس از بررسی، Alpine هیچ دستکاری در commit‌ها، بسته‌ها، یا نسخه‌های مخزن تا 27 اکتبر پیدا نکرد. همچنین، هیچ کلید امضایی نمی‌توانست در معرض دید قرار گیرد، زیرا این کلیدها در سرور GitLab ذخیره نمی‌شوند.

در صورت موفقیت آمیز بودن بهره برداری، اطلاعات بالقوه افشا شده شامل جزئیات کاربر، هش رمز عبور، اسرار 2FA، اسرار CI/CD، اعتبارنامه های یکپارچه سازی و محتوای پروژه خصوصی می شود، اگرچه هیچ موردی در مورد موارد فوق تایید نشده است.

Alpine به کاربران توصیه می کند که رمزهای عبور GitLab خود را بازنشانی کنند و تصویر alpinelinux/gitlab:19.3.6 منتشر شده در 27 اکتبر را که حاوی Ruby 3.3.13 و آدرس CVE-2026-97229 است، بکشند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، ببینید چه چیزی به دست می‌آید.

CISA می گوید که حداکثر شدت نقص GitLab اکنون در طبیعت مورد سوء استفاده قرار گرفته است

CISA در مورد بهره برداری فعال از سه نقص هسته لینوکس هشدار می دهد

نقص اصلی هسته لینوکس امکان حملات ریشه از راه دور بر روی سرورهای MPTCP را فراهم می کند

CISA: هکرها اکنون از حداکثر شدت نقص GitLab در حملات سوء استفاده می کنند

GitLab درباره آسیب‌پذیری جدید اجرای کد با حداکثر شدت هشدار می‌دهد