Alpine-ի խոսքով՝ այն վերակառուցել է GitLab-ը՝ գործընթացների ութ խափանումից հետո

Alpine Linux-ը հայտնել է, որ հոկտեմբերի 28-ին ավարտել է սերվերի վերակառուցումը, վերակայել բոլոր հաշիվների գաղտնաբառերը և փոխարինել GitLab-ի գաղտնի բանալիները։ Հոկտեմբերի 22-ին GitLab-ը 19.3.6 տարբերակին թարմացնելուց հետո կրիտիկական խոցելիությունը չէր վերացվել, քանի որ սերվերում Ruby-ն առանձին էր տեղադրված․ այդ մասին ասված է նախագծի հրապարակման մեջ, որին անդրադարձել է The Hacker News-ը։ Alpine-ը հարձակվողի կողմից կոդ կատարելու ապացույց չի գտել, բայց չի կարող բացառել դա։

GitLab-ն ուղղումը թողարկել է հոկտեմբերի 12-ին։ Alpine-ը հայտնել է, որ հոկտեմբերի 13-ին սխալմամբ թարմացրել է համակարգը մինչև 19.3.4 տարբերակը՝ շտկված 19.3.5-ի փոխարեն, ուստի մեկ շաբաթ անց՝ գրոհների սկզբին, սերվերը դեռ շտկված չէր։ Հետագա թարմացումը նույնպես չի ապահովել Ruby-ի այն ուղղումը, որը ներառված էր GitLab-ի պաշտոնական փաթեթներում և կոնտեյներների պատկերներում։

Alpine Linux-ը Linux-ի բաշխում է, որը փոքր չափի և արագ գործարկման շնորհիվ հաճախ օգտագործվում է կոնտեյներներում։ Տուժած gitlab.alpinelinux.org սերվերում տեղակայված է aports-ը՝ փոփոխությունների շտեմարանը, որոնցից հավաքվում են Alpine-ի փաթեթները։

Ինչու GitLab-ի թարմացումը բավարար չէր

CVE-2026-97229-ը վերաբերում է շարունակական ինտեգրման (CI) կարգավորումներում օգտագործվող կանոնավոր արտահայտություններին՝ տեքստում համընկնումներ գտնելու ձևանմուշներին։ Այդ կարգավորումները կառավարում են ծրագրերի ավտոմատ հավաքման և փորձարկման առաջադրանքները։ GitLab-ը ձևանմուշները մշակում է Ruby-ի միջոցով։ Սխալի հիմքում Ruby-ում ներկառուցված Onigmo ձևանմուշների որոնման շարժիչն է։

Խոցելիության ծանրության գնահատականը 10 հնարավորից 10,0 է։ GitLab-ի անվտանգության ծանուցման համաձայն՝ այն կարող է «որոշակի պայմաններում» համակարգ մուտք չգործած անձին թույլ տալ կոդ կատարել սերվերում։

GitLab-ը խնդիրը շտկել է՝ ուղղում կիրառելով իր պաշտոնական Linux փաթեթների և կոնտեյներների պատկերների հետ տրամադրվող Ruby-ում։ Alpine-ի պատկերը Ruby-ն առանձին էր տեղադրում, ուստի GitLab-ի տարբերակը փոխելը չէր փոխում այդ կատարման միջավայրը։ Նույն տարբերությունը վերաբերում է նաև սկզբնական կոդից հավաքված կամ սեփական Ruby ունեցող հատուկ պատկերներում տեղադրված համակարգերին։

GitLab-ի ծանուցման մեջ սկզբում 19.3.4-ն էր նշված որպես շտկված տարբերակ, սակայն այժմ այն ներկայացված է որպես խոցելի, իսկ 19.3.5-ը՝ որպես շտկված։ GitLab-ի պաշտոնական փաթեթները կամ պատկերներն օգտագործող ադմինիստրատորները պետք է տեղադրեն իրենց ճյուղի ամենանոր թողարկումը։ Առանձին տեղադրված Ruby օգտագործողները պետք է նաև այն թարմացնեն մինչև իրենց ճյուղի շտկված կամ ավելի նոր տարբերակը․

Ruby 3.2-ի համար ուղղում չի թողարկվի, ուստի այն օգտագործող սերվերները պետք է անցնեն շտկված ճյուղի։ Alpine-ի պատկերն օգտագործողները պետք է կրկին ներբեռնեն alpinelinux/gitlab:19.3.6-ը․ հոկտեմբերի 27-ին հրապարակված պատկերը ներառում է Ruby 3.3.13-ը, սակայն դրանից առաջ ներբեռնված պատճեններն ու պատկերների բոլոր ավելի հին պիտակները շարունակում են խոցելի մնալ։

Ինչի են հանգեցրել գրոհները և ինչն է մնում չհաստատված

Alpine-ը հայտնել է, որ հոկտեմբերի 20-ին և 21-ին նոր գրանցված հաշվից հատուկ պատրաստված CI կարգավորումներ են ուղարկվել, ինչի հետևանքով GitLab-ի աշխատանքային գործընթացներն ութ անգամ խափանվել են։ Չորս խափանման դեպքում հարձակվողը մասամբ առաջ էր անցել խոցելիության շահագործման ընթացքում, բայց հաջորդ քայլում ձախողվել էր։ Հոկտեմբերի 21-ի հիմնական գրոհը նաև սերվերի սխալների և CI առաջադրանքների ձախողման պատճառ է դարձել։

Alpine-ը հոկտեմբերի 23-ին արգելափակել է հաշիվը և հայտնել, որ հոկտեմբերի 25-ին ու 26-ին վերադառնալու փորձերը ձախողվել են։ Հոկտեմբերի 26-ին նախագիծը հայտնաբերել է, որ սերվերը, չնայած թարմացմանը, շարունակում է խոցելի մնալ։ Հոկտեմբերի 27-ին այն սահմանափակել է մուտքը՝ թույլատրելով միայն մշակողներին և հավաքման սերվերներին, ու սկսել վերակառուցումը։ Վերակառուցված սերվերում աշխատում է շտկված Ruby։

Alpine-ը չի հայտնաբերել անսպասելի ֆայլեր, բանալիներ, կցված գործողություններ կամ գործընթացներ, ինչպես նաև մասնավոր տվյալների վերադարձ իր ստուգման համար հասանելի վեբ կամ API հարցումների միջոցով։ Սակայն հաջող շահագործումը կարող էր չհանգեցնել ո՛չ խափանման, ո՛չ էլ հետք թողնել վեբ մատյաններում։ Գրոհի օրվա ֆոնային առաջադրանքների որոշ մատյաններ և հին կոնտեյների ֆայլային համակարգն այլևս հասանելի չէին, իսկ ո՛չ Alpine-ը, ո՛չ էլ դրա հոսթինգի մատակարարը ելքային ցանցային միացումները չէին գրանցել։ Ուստի Alpine-ը սերվերը համարել է կոտրված և վերակառուցել՝ վերացնելու ցանկացած հենակետ, որ հարձակվողը կարող էր թողած լինել։

Եթե կոդի կատարումը հաջողվել է, հարձակվողը կարող էր հասանելիություն ստանալ օգտատերերի անուններին, էլեկտրոնային փոստի և IP հասցեներին, գաղտնաբառերի հեշերին, երկգործոն նույնականացման գաղտնի տվյալներին, մասնավոր շտեմարաններին, ինչպես նաև գաղտնի խնդիրներին ու միավորման հարցումներին, հայտնել է Alpine-ը։ Հնարավոր էր նաև ավտոմատացման համար օգտագործվող մուտքի տվյալների բացահայտում՝ հավաքման և առաքման առաջադրանքներում օգտագործվող CI/CD փոփոխականների, կատարիչների թոքենների, վեբ կեռիկների և ինտեգրումների մուտքի տվյալների, փոփոխություններ ստացող հայելիների մուտքի տվյալների և հեշերի տեսքով պահվող անձնական հասանելիության թոքենների։

Alpine-ը, բացի գաղտնաբառերը վերակայելուց և GitLab-ի գաղտնի բանալիները փոխարինելուց, չի հայտնել, թե արդյոք փոխարինվել են կատարիչների թոքենները, CI/CD փոփոխականները, հասանելիության թոքենները կամ ինտեգրումների մուտքի տվյալները։

Ինչ են ընդգրկում Alpine-ի փաթեթների ստուգումները

Alpine-ը հայտնել է, որ ստուգումների ընթացքում հոկտեմբերի 20-ից 22-ը aports-ում ավելացված յուրաքանչյուր փոփոխություն համադրել է հայտնի մշակողի կողմից գրանցված ուղարկման հետ։ Նախագիծը փոփոխությունները համեմատել է մշակողի շտեմարանի պատճենի և բոլոր 45 հավաքման սերվերների գրառումների հետ․ Alpine-ի խոսքով՝ հարձակվողը չէր կարող հասնել այդ գրառումներին։

Հոկտեմբերի 20-ից 24-ը բոլոր ճարտարապետությունների համար հավաքված յուրաքանչյուր փաթեթ ստացվել է ստուգված փոփոխություններից, հայտնել է Alpine-ը։ Հոկտեմբերի 21-ի թողարկումները նույնպես հիմնված էին այդ փոփոխությունների վրա, այդ թվում՝ Alpine-ի պաշտոնական կոնտեյներների պատկերները հավաքելու համար օգտագործվող նվազագույն արմատային ֆայլային համակարգի արխիվները։

Ստուգումները կատարվել են հոկտեմբերի 24-ին, իսկ GitLab-ը խոցելի է մնացել մինչև հոկտեմբերի 27-ին դրա փակումը։ Alpine-ը ստուգումներն ընդլայնում է՝ ընդգրկելով նաև այդ ավելի ուշ ամսաթիվը։ Նախագիծը նաև հայտնել է, որ իր փաթեթների և թողարկումների ստորագրման բանալիները չեն բացահայտվել, քանի որ երբեք չեն պահվել GitLab-ի սերվերում․ դրանք տարբերվում են վերակառուցման ընթացքում փոխարինված GitLab-ի գաղտնի բանալիներից։

Ինչ պետք է անեն օգտատերերը վերաբացումից առաջ

Alpine-ը խորհուրդ է տալիս բոլոր նրանց, ովքեր իրենց gitlab.alpinelinux.org գաղտնաբառն օգտագործել են նաև այլ տեղերում, փոխել այն այդ ծառայություններում։ Նախագիծը նաև նկատել է մուտքի ավտոմատ փորձեր՝ այլ կայքերից արտահոսած գաղտնաբառերով։ Երբ GitLab-ը վերաբացվի, հաշիվների տերերը պետք է մուտքի էջում ընտրեն «Մոռացե՞լ եք գաղտնաբառը» և նոր գաղտնաբառ սահմանեն։

Մինչ GitLab-ի հանրային հասանելիությունը փակ է, Alpine-ի փաթեթների հայելիները, շտեմարանի դիտարկիչը, փոստային ցուցակները և զրույցի ծառայությունները մնում են հասանելի։

Հոկտեմբերի 29-ի դրությամբ մուտքը դեռ սահմանափակված էր՝ թույլատրված լինելով միայն Alpine-ի մշակողներին և հավաքման սերվերներին։ Alpine-ը փորձարկում էր վերակառուցված սերվերը՝ հանրության համար այն վերաբացելուց առաջ, և վերաբացման ամսաթիվ չէր հայտարարել։ Նախագիծը հայտնել է, որ ծառայության վերագործարկման ժամանակ կհրապարակի հաշիվներ մուտք գործելու հրահանգները։