Alpineディストリビューションの開発者 Linux 彼らは、APKパッケージマネージャ、ビルドツール、インフラストラクチャコンポーネント、およびパッケージビルドスクリプト（aports）の開発が行われていた共同開発プラットフォームgitlab.alpinelinux.orgへのハッキング未遂に関する情報を公開した。この攻撃は、Ruby正規表現エンジンの整数オーバーフローによって引き起こされるGitLabプラットフォームの脆弱性を悪用して行われた。ハッキングが成功した証拠や痕跡は見つからなかったが、脆弱性の悪用が完全に否定できないため、GitLabコンテナは侵害された可能性があると判断され、その内容は完全にゼロから再構築され、ユーザーに対してパスワードリセット手順が開始された。
アルパイン・インフラストラクチャ・アドミニストレーターズ Linux サードパーティ製ファイル、疑わしい実行中のプロセス、異常なAPI呼び出し、設定やシステムファイルの変更、大量データ抽出によく見られる負荷スパイクは検出されませんでした。aportsリポジトリ、パッケージ、リリースファイルの整合性分析、および外部ビルドサーバーや開発者システムからのコピーとの検証の結果、隠れた変更は発見されませんでした。
発信ネットワーク接続に関する情報が不足していること、ローテーション中に一部のログ（例えば、cronログ）が削除されること、およびWebサーバーのログに十分な詳細情報がないこと（クラッシュを引き起こさないエクスプロイトの成功はログに反映されない）により、攻撃が成功した可能性を完全に排除することは不可能です。
攻撃が成功した場合、攻撃者はすべての GitLab ユーザーのデータ (パスワード ハッシュ、メールアドレス、 IPアドレス など）、継続的インテグレーションシステムの環境変数とトークン、二要素認証コード、個人アクセストークンのハッシュ、プライベートリポジトリの内容、および問題に関する機密の議論。攻撃されたサーバー上のリリースおよびパッケージのデジタル署名を生成するためのキー。 サーバ 保存されませんでした。
この脆弱性を悪用しようとする最初の試みは、10月20日と21日に記録された。攻撃者はGitLabアカウントを登録し、変更された設定を継続的インテグレーションシステムに送信しようとした。ログには8件のGitLabプロセスのクラッシュが記録されており、そのうち4件はこの脆弱性の悪用に関連するものだった。攻撃の第一段階は成功したが、第二段階は失敗に終わった。
攻撃当時、コンテナは脆弱性のあるバージョンのGitLab 19.3.4を実行していましたが、10月22日にGitLab 19.3.6にアップデートされました。しかし、Alpineの管理者は、脆弱性がRubyツールチェーンに存在するため、修正がGitLabのコード自体ではなく、公式のGitLab 19.3.6インストールパッケージにのみ含まれていることを考慮していませんでした。そのため、コンテナは古いRubyツールチェーンを使い続け、脆弱性は修正されないままになっていました。
残りの脆弱性は10月26日に発見されました。ログの分析により、攻撃者が10月25日と26日に攻撃を再開したことが明らかになりました。10月27日、GitLabへの第三者アクセスが制限されました。10月28日、コンテンツが再構築され、すべてのパスワードがリセットされ（ユーザーはパスワードを忘れた場合の復旧手順で新しいパスワードを設定する必要がありました）、アクセスキーが交換されました。10月29日、更新された サーバ 運用が開始された。プロジェクトが管理していたDockerコンテナ「alpinelinux/gitlab」は、10月27日まで脆弱性が残っていた。
出所： オープンネット.ru
