Alpine Linux : tentative d'exploitation de CVE-2026-97229
Original : GitLab Security Incident: Attempted Exploitation of CVE-2026-97229
Pourquoi c'est important
Montre qu'une mise à jour GitLab seule ne suffit pas si Ruby n'est pas patché.
Les 20 et 21 octobre, un attaquant a tenté d'exploiter CVE-2026-97229 (CVSS 10.0) sur l'instance GitLab d'Alpine Linux. L'instance a été reconstruite par précaution ; aucune modification des paquets n'a été détectée.
CVE-2026-97229 est une faille critique (CVSS 10.0) dans l'évaluation des expressions régulières dans les configurations CI de GitLab. Le bug réside dans Onigmo, le moteur regex intégré à Ruby. GitLab a publié un correctif le 12 octobre, mais celui-ci s'applique uniquement au Ruby embarqué dans ses propres paquets officiels — pas aux déploiements utilisant un Ruby standard.
Alpine Linux utilisait son propre image Ruby. Pire : le 13 octobre, l'équipe a mis à jour vers GitLab 19.3.4 au lieu de 19.3.5 (qui contenait le patch), par erreur. Un compte nouvellement créé a ensuite envoyé des configurations CI malveillantes les 20 et 21 octobre, provoquant 8 crashs de workers GitLab. Dans 4 cas, l'attaquant a partiellement réussi l'exploit avant d'échouer à l'étape suivante. Il a également téléchargé l'image container d'Alpine, probablement pour affiner son attaque.
Après la mise à jour vers 19.3.6 le 22 octobre, l'instance restait vulnérable — Ruby 3.3.13 n'a été intégré à l'image que le 27 octobre. L'équipe a reconstruit l'instance de zéro, réinitialisé tous les mots de passe et remplacé les clés secrètes de GitLab. Les dépôts aports, paquets et releases du 21 octobre ont été vérifiés : aucune altération détectée.