Alpine Linux, GitLab 취약점 악용 시도 후 서버 재구축

Alpine Linux가 GitLab 서버를 처음부터 다시 구축하고 전체 비밀번호를 재설정했다. 10월 20~21일 GitLab의 치명적 취약점인 CVE-2026-97229를 겨냥한 악용 시도가 있었기 때문이라고 보안 매체 bleepingcomputer.com이 보도했다.

공격자들은 악성 CI 설정을 제출했고, 이로 인해 워커 8개가 중단됐다. 이 가운데 4건은 부분적으로 성공한 것으로 나타났다. 문제가 된 취약점은 GitLab의 CI/CD 정규식 컴파일러인 Onigmo에 존재하는 최고 심각도 원격 코드 실행 결함으로, Ruby에 함께 포함된 구성요소다.

Alpine Linux는 실제 코드 실행이나 패키지 변조 증거를 발견하지 못했다고 밝혔으며, 10월 27일까지의 릴리스도 그대로 유지한다고 설명했다. 다만 로그와 아웃바운드 연결 기록이 남아 있지 않아 침해 가능성을 완전히 배제하지는 못했다. 공격자들이 Alpine의 GitLab 컨테이너 이미지를 내려받은 점도 확인됐는데, 이는 공급망 공격을 준비하는 정황으로 해석될 수 있다.

사용자 권고 사항

Alpine은 사용자들에게 GitLab 비밀번호를 재설정하고, 10월 27일 공개된 alpinelinux/gitlab:19.3.6 이미지를 받아 사용할 것을 권고했다. 이 이미지에는 Ruby 3.3.13이 포함돼 있으며 CVE-2026-97229 문제가 해결됐다.

앞서 GitLab은 10월 12일 CVE-2026-97229를 공개하고 수정판을 배포하며, CI/CD 파이프라인 설정에 조작된 정규식을 넣으면 공격자가 취약점을 발동시킬 수 있다고 경고한 바 있다. Alpine은 당초 패치된 19.3.5 대신 19.3.4를 설치했고, 이후 19.3.6으로 업그레이드했지만 Alpine의 자체 컨테이너 이미지에 포함되지 않은 Ruby 패치가 필요해 결함이 완전히 해소되지 않았다. Alpine의 GitLab 서버는 개발 저장소와 코드 리뷰, 소프트웨어 패키지용 'aports' 빌드 레시피 등 CI 작업을 호스팅해 왔다.