경량 리눅스 배포판 알파인 리눅스가 자사 개발용 깃랩 서버에 대한 원격 코드 실행 공격 시도를 확인하고 서버를 처음부터 다시 구축했다. 알파인은 11월 1일 보도를 통해 알려진 조사 결과에서 코드 변조 흔적은 찾지 못했다고 밝혔다. 다만 일부 로그가 없어 침해 가능성을 완전히 배제하지는 못했다.
공격에 이용된 것은 CVE-2026-97229로, 루비에 포함된 정규식 컴파일러 오니그모의 정수 오버플로 결함이다. 깃랩의 CI/CD 기능에서 이 컴파일러를 쓰기 때문에 인증 없이 원격 코드 실행이 가능할 수 있는 최고 심각도 취약점으로 분류됐다. 깃랩은 10월 12일 이 결함을 공개하고 수정판을 내놓았다.
알파인은 패치된 19.3.5 대신 그 이전 버전을 설치해 둔 상태였고, 공격은 10월 20일과 21일에 이뤄졌다. 공격자는 악의적으로 만든 정규식이 담긴 CI 설정을 제출해 깃랩 작업 프로세스를 반복해서 중단시켰다. 작업자 프로세스 중단은 여덟 차례였고, 이 가운데 네 건은 부분적으로 성공했지만 완전한 성공으로 보이는 사례는 없었다.
이후 19.3.6으로 올려도 문제가 해결되지 않았다. 해결에는 루비 자체 패치가 필요했는데, 깃랩 공식 패키지에는 포함돼 있었으나 알파인이 직접 만든 컨테이너 이미지에는 빠져 있었다. 공격자가 알파인의 깃랩 컨테이너 이미지를 내려받은 기록도 있으며, 알파인은 이를 공급망 공격 준비로 의심한다.
알파인은 10월 27일까지의 활동을 조사했으나 저장소 커밋이나 패키지, 릴리스가 변조됐다는 증거는 발견하지 못했다. 서명 키는 깃랩 서버에 보관하지 않아 노출되지 않았다. 하지만 외부로 나간 연결 기록이 부족해 사용자 정보, 비밀번호 해시, 2단계 인증 비밀값, CI/CD 비밀값, 비공개 프로젝트 내용이 노출됐을 가능성은 남아 있다. 실제 유출은 확인되지 않았다.
알파인은 모든 비밀번호를 초기화하고 서버를 새로 구축했다. 사용자에게는 깃랩 비밀번호를 재설정하고, 루비 3.3.13이 들어 있어 취약점이 해결된 alpinelinux/gitlab:19.3.6 이미지를 받아 쓰라고 안내했다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.