CVE-2026-97229 colpisce GitLab: update inutile senza Ruby, Alpine Linux ricostruisce tutto e resetta le password

Un tentativo di attacco informatico ha preso di mira il server GitLab del progetto Alpine Linux sfruttando una vulnerabilità critica identificata come CVE 2026 97229 con punteggio CVSS 10.0. Il problema consente, in determinate condizioni, una remote code execution (RCE) su server GitLab attraverso una regular expression malevola inserita nella configurazione CI.

Anche se non sono emerse prove definitive di esecuzione di codice, Alpine Linux ha scelto un approccio prudente ricostruendo il server da zero e imponendo il reset delle password per tutti gli account, oltre alla sostituzione delle chiavi segrete di GitLab.

Aggiornare GitLab potrebbe non bastare

L’aspetto più rilevante per gli amministratori è che l’aggiornamento di GitLab da solo può non essere sufficiente. La correzione rilasciata da GitLab riguarda infatti la Ruby inclusa nei pacchetti ufficiali e nelle immagini container ufficiali. Se invece GitLab viene eseguito con una Ruby di sistema o installata separatamente in un container personalizzato, la vulnerabilità può restare attiva anche dopo l’upgrade di GitLab.

In questi casi è necessario aggiornare Ruby a una versione corretta come 3.3.13, 3.4.12, 4.0.9 o successive. Per chi usa immagini specifiche basate su Alpine, può essere richiesto ripetere il pull della stessa tag per ottenere una build aggiornata con Ruby corretta.

Dinamica dell’attacco osservata

Nel caso analizzato, un account appena registrato ha iniziato a sondare il server inviando configurazioni CI costruite ad hoc. Gli input hanno provocato crash ripetuti dei processi worker e, in un episodio, hanno generato errori 502 e fallimenti dei job CI. Alcuni crash indicavano che l’attaccante stava cercando di completare la catena di exploit senza riuscire a portarla a termine.

Un dettaglio utile per la threat intelligence è che l’attaccante avrebbe scaricato anche l’immagine container GitLab usata dal progetto, segnale di un possibile tentativo di adattare l’exploit alla build specifica.

Implicazioni per la supply chain e raccomandazioni

Per la sicurezza della supply chain, Alpine Linux ha verificato l’integrità delle modifiche al repository di build aports confrontandole con registri esterni e copie presenti su server di build separati. Inoltre le chiavi di firma dei pacchetti non risultavano presenti sul server GitLab, riducendo il rischio di compromissione delle firme.

Resta comunque fondamentale per chi gestisce GitLab self-managed controllare la propria modalità di installazione, aggiornare sia GitLab sia Ruby quando necessario, limitare la creazione di account e applicare regole di detection per individuare tentativi di sfruttamento basati su CI lint e pattern anomali.