Sicherheitsberichte haben enthüllt, dass die Distribution Alpine Linux Ziel eines Ausnutzungsversuchs einer Sicherheitslücke der höchsten Stufe in der GitLab-Plattform war. Diese Schwachstelle ermöglicht es unbefugten Angreifern, beliebigen Code (RCE) auf dem Server auszuführen. Die Sicherheitslücke mit der Kennung CVE-2026-97229 erhielt auf der CVSS-Skala eine Bewertung von 10/10, was sie zu einer der gefährlichsten aktuellen Bedrohungen macht.
Details zum Angriff und technischer Mechanismus
Laut Angaben von Alpine Linux zielte ein Akteur am 20. und 21. Oktober auf die GitLab-Instanz der Distribution ab. Der Angriff begann mit der Nutzung eines neu registrierten Kontos, um speziell präparierte CI/CD-Konfigurationsdateien zu senden, was zum Absturz der Arbeitsprozesse (worker processes) führte. Obwohl der Angriff nicht erfolgreich in die Kernsysteme eindrang, zeigten die Angreifer ein hohes Maß an Professionalität; sie luden das Container-Image von GitLab herunter, was auf einen Versuch hindeutet, den Exploit präzise an die Zielumgebung anzupassen.
Diese Schwachstelle entsteht durch eine Schwäche bei der Validierung regulärer Ausdrücke (Regular Expression validation) innerhalb der Onigmo-Engine, die in der Programmiersprache Ruby verwendet wird. Da die Schwachstelle in der Sprach-Engine und nicht im GitLab-Code selbst liegt, ist ein herkömmliches Update der Plattform möglicherweise nicht ausreichend für den Schutz.
Was bedeutet das für Benutzer und Administratoren?
Diese Entwicklung stellt eine technische Herausforderung für Unternehmen dar, die sich nicht auf fertige GitLab-Pakete verlassen, sondern GitLab mit einer benutzerdefinierten Ruby-Version oder aus dem Quellcode betreiben. In diesem Fall reicht ein Update von GitLab auf Version 19.3.6 allein nicht aus; die Ruby-Sprache muss unabhängig aktualisiert werden, um die Lücke zu schließen.
Um den Schutz zu gewährleisten, muss sichergestellt werden, dass die folgenden Ruby-Versionen oder neuer verwendet werden:
Internationale Reaktion
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die Schwachstelle CVE-2026-97229 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und dringende Anweisungen an Bundesbehörden herausgegeben, diese Sicherheitslücke innerhalb von maximal drei Tagen zu beheben.