Alpine Linux GitLab Sunucusunda Kritik Açık Denemesi Yapıldı

Alpine Linux, kendi GitLab sunucusunda kritik bir güvenlik açığının istismar edilmeye çalışıldığını açıkladı. Bu durum, GitLab'ın bir düzeltme yayınlamasından sadece bir hafta sonra meydana geldi. Açığın CVE-2026-97229 kodu ile tanımlandığı ve CVSS puanının 10.0 olduğu belirtildi. Bu açık, bir saldırganın CI yapılandırmasında oluşturulmuş bir düzenli ifade aracılığıyla GitLab sunucusunda kod çalıştırmasına olanak tanıyabiliyor. Alpine, saldırının başarılı olup olmadığına dair herhangi bir kanıt bulamadığını ancak bunu da göz ardı edemeyeceklerini belirterek sunucuyu sıfırdan yeniden inşa ettiklerini ve tüm hesapların şifrelerini sıfırladıklarını duyurdu.

GitLab Açığı ve Alınan Önlemler

GitLab'ın yayınladığı düzeltme, GitLab'ın kendi paketleri ve konteyner görüntülerinde yer alan Ruby için bir dizi yamanın uygulanmasını içeriyor. Ancak Alpine'ın GitLab görüntüsü standart Ruby kullanıyordu. Bu nedenle, 22 Ekim'de GitLab 19.3.6'ya yükseltilmesi açığı kapatmadı. Alpine, kendi Ruby'sini kullanan veya kaynak koddan inşa eden kullanıcıların sadece GitLab'ı güncellemelerinin yeterli olmadığını belirtti. Bu sunucuların ayrıca Ruby 3.3.13, 3.4.12, 4.0.9 veya daha üst bir sürüme güncellenmesi gerektiği vurgulandı.

Saldırının Detayları

Saldırgan, 20 Ekim'de sunucuya düzenlenmiş CI yapılandırmaları gönderdi ve bu işlemler GitLab işçi süreçlerini sekiz kez çökertti. 21 Ekim'deki ana saldırı da 502 hatalarına yol açarak CI görevlerinin başarısız olmasına neden oldu. Alpine, saldırganın GitLab konteyner görüntüsünü indirdiğini ve bunun, saldırının Alpine'ın tam yapılandırmasına göre ayarlandığını gösterdiğini belirtti. 23 Ekim'de hesap bloke edildi, ancak saldırgan 25 ve 26 Ekim'de tekrar giriş yapmaya çalıştı.

Sunucunun Yeniden İnşası

26 Ekim'de Alpine, 22 Ekim'deki 19.3.6 güncellemesinden sonra sunucunun hala savunmasız olduğunu fark etti. Ertesi gün, GitLab'ı geliştiriciler ve yapı sunucuları dışında herkese kapattı ve yeniden inşa sürecine başladı. 28 Ekim'de tamamlanan yeniden inşa sürecinin ardından, GitLab'ın gizli anahtarları da değiştirilerek, sunucu Ruby 3.3.13 veya daha üst bir sürümle çalışmaya başladı. Alpine, sunucuyu halka yeniden açmadan önce test etmeye devam ediyor.

Saldırının Sonuçları ve Öneriler

Alpine, saldırının başarılı olup olmadığını kesin olarak bilemiyor. Sunucuda herhangi bir kod çalıştırıldığına dair bir iz bulamadıklarını ancak başarılı bir saldırının web günlüklerinde herhangi bir çökme veya iz bırakmayabileceğini ifade ettiler. Eğer saldırı başarılı olsaydı, kullanıcıların e-posta adresleri, isimleri, IP adresleri ve iki faktörlü kimlik doğrulama (2FA) bilgileri gibi hassas verilerin açığa çıkabileceği belirtiliyor. GitLab yöneticilerinin, kendi kurulumlarını güncellemeleri ve Ruby sürümlerini kontrol etmeleri gerektiği vurgulandı. Ayrıca, yeni kullanıcıların kendiliğinden kayıt olmasını engellemek ve anonim erişimi kısıtlamak gibi önlemler alınması önerildi.

Sonuç olarak, Alpine Linux'un GitLab sunucusunda yaşanan bu olay, kullanıcı verilerinin güvenliğine dair önemli bir uyarı niteliği taşıyor. Kullanıcıların hesaplarını korumak için gerekli önlemleri almaları ve sunucu güncellemelerini takip etmeleri büyük önem taşıyor.