Para pengembang distribusi Alpine Linux Mereka membocorkan informasi tentang upaya peretasan platform pengembangan kolaboratif gitlab.alpinelinux.org, tempat pengerjaan manajer paket APK, alat pembuatan, komponen infrastruktur, dan skrip pembuatan paket (aports) dilakukan. Serangan tersebut dilakukan dengan mengeksploitasi kerentanan pada platform GitLab yang disebabkan oleh luapan bilangan bulat (integer overflow) pada mesin ekspresi reguler Ruby. Tidak ditemukan bukti atau jejak peretasan yang berhasil, tetapi karena tidak mungkin untuk sepenuhnya mengesampingkan kemungkinan eksploitasi kerentanan yang berhasil, kontainer GitLab dianggap berpotensi disusupi dan isinya dibangun ulang sepenuhnya dari awal, serta prosedur pengaturan ulang kata sandi dimulai untuk pengguna.
Administrator Infrastruktur Pegunungan Alpen Linux Tidak ditemukan file pihak ketiga, proses berjalan yang mencurigakan, panggilan API yang tidak biasa, perubahan pada pengaturan atau file sistem, atau lonjakan beban yang lazim terjadi pada ekstraksi data massal. Analisis integritas repositori aports, paket, dan file rilis, serta verifikasinya terhadap salinan dari server build eksternal dan sistem pengembang, tidak mengungkapkan adanya perubahan tersembunyi.
Kurangnya informasi tentang koneksi jaringan keluar, penghapusan beberapa log selama rotasi (misalnya, log cron), dan kurangnya detail yang memadai dalam log server web (penggunaan eksploitasi yang berhasil yang tidak mengakibatkan kerusakan tidak tercermin dalam log) membuat mustahil untuk sepenuhnya mengesampingkan kemungkinan serangan yang berhasil.
Jika serangan berhasil, penyerang dapat memperoleh akses ke basis data yang berisi data tentang semua pengguna GitLab (hash kata sandi, email, Alamat IP dll.), variabel lingkungan dan token dari sistem integrasi berkelanjutan, kode otentikasi dua faktor, hash token akses pribadi, isi repositori pribadi, dan diskusi rahasia tentang masalah. Kunci untuk menghasilkan tanda tangan digital untuk rilis dan paket di server yang diserang. server tidak disimpan.
Upaya pertama untuk mengeksploitasi kerentanan tersebut tercatat pada tanggal 20 dan 21 Oktober. Penyerang mendaftarkan akun GitLab dan mencoba mengirimkan pengaturan yang dimodifikasi ke sistem integrasi berkelanjutan. Log mencatat delapan kali proses GitLab mengalami crash, empat di antaranya terkait dengan eksploitasi tersebut. Fase pertama eksploitasi berhasil, tetapi tahap kedua gagal.
Pada saat serangan terjadi, kontainer tersebut menjalankan versi GitLab 19.3.4 yang rentan, yang kemudian diperbarui ke GitLab 19.3.6 pada tanggal 22 Oktober. Namun, administrator Alpine gagal mempertimbangkan bahwa perbaikan tersebut hanya disertakan dalam paket instalasi resmi GitLab 19.3.6, bukan dalam kode GitLab itu sendiri, karena kerentanan tersebut terdapat pada toolchain Ruby. Kontainer tersebut terus menggunakan toolchain Ruby yang lebih lama, dan kerentanan tersebut tetap tidak ditambal.
Kerentanan yang tersisa baru ditemukan pada tanggal 26 Oktober. Analisis log mengungkapkan bahwa penyerang melanjutkan serangan mereka pada tanggal 25 dan 26 Oktober. Pada tanggal 27 Oktober, akses pihak ketiga ke GitLab dibatasi. Pada tanggal 28 Oktober, konten dibangun kembali, semua kata sandi direset (pengguna diharuskan untuk mengatur kata sandi baru melalui prosedur pemulihan kata sandi yang terlupakan), dan kunci akses diganti. Pada tanggal 29 Oktober, pembaruan server telah dioperasikan. Kontainer Docker alpinelinux/gitlab, yang dikelola oleh proyek tersebut, tetap rentan hingga 27 Oktober.
Sumber: opennet.ru
