Insiden Keamanan GitLab, Alpine Linux Lakukan Pembangunan Ulang

Alpine Linux mendeteksi upaya eksploitasi terhadap kerentanan GitLab dengan kode CVE-2026-97229 pada instans mereka yang terjadi tanggal 20 dan 21 Oktober. Serangan tersebut terjadi hanya berselang sepekan setelah perbaikan dirilis dan hampir berhasil, sehingga pengelola mengambil tindakan pencegahan dengan membangun ulang instans dari awal.

Kronologi dan Detail Kerentanan

Kerentanan CVE-2026-97229 merupakan celah kritis berskor CVSS 10.0 yang berkaitan dengan cara GitLab mengevaluasi ekspresi reguler dalam konfigurasi CI. Masalah mendasar ini terletak pada Onigmo, yakni mesin ekspresi reguler yang tertanam di dalam bahasa pemrograman Ruby. GitLab merilis perbaikan pada 12 Oktober berupa sekumpulan tambalan untuk Ruby yang disertakan dalam paket dan citra kontainer mereka. Sementara itu, pembuat asli Ruby baru meluncurkan perbaikan melalui versi 3.3.13, 3.4.12, dan 4.0.9 pada 23 Oktober.

Dalam serangan tersebut, sebuah akun yang baru terdaftar mengirimkan konfigurasi CI rancangan khusus ke instans GitLab pengelola yang saat itu masih menjalankan versi 19.3.4 tanpa tambalan 12 Oktober. Tindakan ini memicu delapan kali kegagalan pada proses pekerja GitLab, di mana penyerang sempat melalui separuh tahapan eksploitasi pada empat kesempatan sebelum akhirnya gagal di langkah berikutnya. Penyerang juga mengunduh citra kontainer GitLab, yang mengindikasikan upaya penyesuaian eksploitasi dengan pembangunan spesifik server tersebut. Pengelola menyatakan tidak ada bukti penyerang berhasil menjalankan kode di server, namun kemungkinan tersebut tidak dapat disingkirkan sepenuhnya.

Peningkatan versi ke GitLab 19.3.6 yang dilakukan pada 22 Oktober ternyata belum menyelesaikan masalah karena perbaikan tidak terletak pada kode GitLab sendiri, melainkan pada tambalan Ruby yang hanya diterapkan dalam paket resmi GitLab. Pengguna yang menjalankan GitLab dengan Ruby buatan sendiri atau dari kode sumber harus memperbarui Ruby ke versi 3.3.13, 3.4.12, 4.0.9, atau yang lebih baru.

Hasil Pemeriksaan dan Temuan

Berdasarkan pemeriksaan Hacker News: Front Page (alpinelinux.org), repositori aports, paket, serta rilis stabil tertanggal 21 Oktober dipastikan tidak mengalami gangguan atau manipulasi. Seluruh komit aports dari tanggal 20 hingga 22 Oktober diterima melalui catatan dorongan dari pengembang yang terverifikasi dengan catatan di luar GitLab. Kunci penandatanganan paket dan rilis Alpine juga dipastikan aman karena tidak pernah disimpan di peladen GitLab.

Pemeriksaan lanjutan tidak menemukan adanya penundaan waktu pada pemeriksaan waktu, berkas asing, kunci, kait, maupun proses yang tidak dikenal. Tidak ada pula data pribadi pengguna yang terkirim ke penyerang melalui permintaan web atau API yang terpantau. Meskipun demikian, pengelola tidak dapat memastikan keamanan secara mutlak karena ketiadaan jejak mogok atau log web pada hari serangan, hilangnya sejumlah log latar belakang serta sistem berkas kontainer lama, dan ketiadaan pencatatan koneksi jaringan keluar.

Jika serangan tersebut berhasil sepenuhnya, data yang berpotensi terekspos meliputi alamat surel, nama, alamat IP, hash kata sandi, token 2FA, variabel CI/CD, token pelari, kredensial webhook, token akses pribadi, repositori privat, hingga isu serta permintaan penggabungan yang bersifat rahasia.

Langkah Pemulihan dan Pencegahan

Seluruh kata sandi pengguna telah disetel ulang, dan layanan GitLab diuji kembali sebelum dibuka untuk publik. Pengguna diimbau untuk menggunakan fitur pemulihan kata sandi di halaman masuk setelah layanan aktif, serta segera mengubah kata sandi di platform lain apabila menggunakan kata sandi yang sama. Pertanyaan atau kendala terkait insiden ini dapat dikirimkan melalui alamat surel [email protected].

Sebagai respons atas insiden ini, pengelola menerapkan sejumlah perubahan kebijakan ke depan. Langkah tersebut mencakup penggunaan versi Ruby yang sudah diperbaiki, penerapan pembaruan keamanan kritis GitLab dalam kurun waktu sehari disertai pemeriksaan komponen pendukung, peningkatan sistem pencatatan koneksi jaringan dan basis data dengan masa penyimpanan yang lebih lama, serta penggunaan tanda rilis terverifikasi secara independen.