Alpine aveva aggiornato GitLab. La falla era rimasta in Ruby

L’aggiornamento di GitLab sembrava fatto, ma il componente vulnerabile era ancora lì. Nel resoconto del 28 ottobre, Alpine Linux racconta come la propria immagine del servizio fosse rimasta esposta anche dopo il passaggio a GitLab 19.3.6: la correzione era nel Ruby incluso nei pacchetti ufficiali, non nel codice dell’applicazione.

La falla, CVE-2026-97229, riguarda Onigmo, il motore delle espressioni regolari di Ruby, ed è sfruttabile attraverso configurazioni CI preparate appositamente. GitLab aveva distribuito le patch il 12 ottobre. Alpine aveva prima installato per errore una versione senza correzione; il successivo aggiornamento del 22 ottobre non aveva sistemato il Ruby della sua immagine personalizzata.

Gli attacchi del 20 e 21 ottobre hanno provocato arresti dei processi e sono arrivati vicino all’esecuzione di codice. Alpine non ha trovato prove di un’intrusione riuscita, ma alcuni log mancanti impediscono di escluderla. Ha quindi ricostruito l’istanza, azzerato le password e sostituito le chiavi segrete di GitLab.

I controlli su repository e pacchetti, confrontati con registri esterni a GitLab, non hanno trovato manomissioni nei pacchetti prodotti dal 20 al 24 ottobre. Le verifiche vengono estese fino alla chiusura del servizio, avvenuta il 27. Per chi usa l’immagine alpinelinux/gitlab:19.3.6, quella corretta è stata pubblicata il 27 ottobre: lo stesso tag scaricato prima resta vulnerabile. Chi usa un proprio Ruby deve aggiornare anche quello, al ramo corretto: 3.3.13, 3.4.12 o 4.0.9 e successivi.