Alpine 經銷商的開發者 Linux 他們披露了有關試圖入侵 gitlab.alpinelinux.org 協作開發平台的信息，該平台用於開發 APK 包管理器、構建工具、基礎設施組件和包構建腳本 (aports)。這次攻擊利用了 GitLab 平台的漏洞，該漏洞是由 Ruby 正規表示式引擎中的整數溢出引起的。雖然沒有發現成功入侵的證據或痕跡，但由於無法完全排除漏洞被成功利用的可能性，因此 GitLab 容器被認為可能已被入侵，其內容已從頭開始完全重建，並啟動了用戶密碼重置程序。
阿爾卑斯基礎建設管理公司 Linux 未偵測到任何第三方檔案、可疑運行進程、異常 API 呼叫、設定或系統檔案更改，也未偵測到大規模資料擷取常見的負載峰值。對 aports 程式碼庫、軟體套件和發布檔案的完整性分析，以及與外部建置伺服器和開發人員系統中的副本進行比對驗證，均未發現任何隱藏變更。
由於缺乏有關出站網路連線的資訊、輪調期間刪除某些日誌（例如 cron 日誌）以及 Web 伺服器日誌中缺乏足夠的細節（成功使用不會導致崩潰的漏洞程式不會反映在日誌中），因此無法完全排除攻擊成功的可能性。
如果攻擊成功，攻擊者可以存取包含所有 GitLab 使用者資料（密碼雜湊、電子郵件等）的資料庫。 IP 地址 等等），來自持續整合系統的環境變數和令牌、雙重認證碼、個人存取權杖的雜湊值、私有儲存庫的內容以及關於問題的機密討論。用於在受攻擊伺服器上為版本和軟體包產生數位簽章的金鑰。 服務器 未被保存。
首次嘗試利用漏洞的記錄時間是10月20日和21日。攻擊者註冊了一個GitLab帳戶，並試圖將修改後的設定傳送到持續整合系統。日誌記錄了八次GitLab進程崩潰，其中四次與此漏洞利用有關。漏洞利用的第一階段成功，但第二階段失敗。
攻擊發生時，容器運行的是存在漏洞的 GitLab 19.3.4 版本，該版本已於 10 月 22 日更新至 GitLab 19.3.6。然而，Alpine 管理員未能考慮到該漏洞的修復程序僅包含在官方的 GitLab 19.3.6 安裝包中，而非 GitLab 程式碼本身，因為漏洞存在於 Ruby 工具鏈中。因此，容器繼續使用舊版的 Ruby 工具鏈，導致漏洞未修復。
剩餘的漏洞直到10月26日才被發現。日誌分析顯示，攻擊者在10月25日和26日恢復了攻擊。 10月27日，第三方對GitLab的存取受到限制。 10月28日，GitLab的內容被重建，所有密碼都被重置（用戶需要透過忘記密碼恢復流程設定新密碼），存取金鑰也被更換。 10月29日，更新後的GitLab重新部署。 服務器 已投入使用。由該專案維護的 Docker 容器 alpinelinux/gitlab 直到 10 月 27 日仍然存在漏洞。
來源： opennet.ru
