Alpine Linux Bangun Ulang Server GitLab Usai Percobaan Serangan RCE
Proyek open-source Alpine Linux terpaksa membangun ulang server GitLab mereka dari awal serta melakukan reset terhadap seluruh password pengguna. Langkah drastis ini diambil menyusul adanya percobaan eksploitasi terhadap celah keamanan kritis pada infrastruktur pengembangan mereka yang terjadi pada tanggal 20 hingga 21 Oktober lalu.
Serangan tersebut secara spesifik menargetkan CVE-2026-97229, sebuah kerentanan Remote Code Execution (RCE) dengan tingkat keparahan maksimum (maximum-severity). Upaya peretasan ini dilaporkan berulang kali menyebabkan proses di dalam sistem GitLab mengalami crash, di mana beberapa percobaan di antaranya bahkan nyaris berhasil menembus pertahanan sistem.
Meskipun tim Alpine Linux tidak menemukan bukti bahwa pelaku ancaman berhasil mengeksekusi kode berbahaya maupun memodifikasi paket perangkat lunak dan rilis resmi mereka, potensi terjadinya kompromi tetap tidak bisa dikesampingkan sepenuhnya. Hal ini disebabkan oleh hilangnya sejumlah log sistem serta ketiadaan catatan koneksi keluar (outbound connection records) yang dibutuhkan untuk memastikan kondisi server secara menyeluruh.
Mengingat bukti forensik yang diperlukan untuk memastikan tidak adanya eksekusi kode sudah tidak lagi tersedia, tim pengembang akhirnya memilih langkah paling aman dengan membangun ulang instance GitLab mereka dari nol.
Sebagai informasi, Alpine Linux merupakan sistem operasi berukuran kecil dan ringan yang sangat populer digunakan sebagai fondasi utama untuk Docker container images dalam menjalankan berbagai aplikasi maupun layanan modern. Instance GitLab milik mereka menampung berbagai repositori pengembangan, code reviews, serta CI jobs, termasuk resep kompilasi “aports” yang digunakan untuk memproduksi paket perangkat lunak Alpine. Posisi krusial inilah yang menjadikannya target serangan rantai pasok (supply chain attack) yang sangat bernilai tinggi, karena modifikasi ilegal pada lingkungan GitLab tersebut dapat berdampak luas pada perangkat lunak turunan (downstream software).
Detail Celah Keamanan CVE-2026-97229 dan Kegagalan Patch Awal
Kerentanan CVE-2026-97229 sendiri merupakan celah integer overflow berbahaya yang terdapat pada regular expression compiler Onigmo milik fitur CI/CD GitLab yang dibundel di dalam bahasa pemrograman Ruby. Celah ini memungkinkan penyerang tanpa autentikasi (unauthenticated attackers) untuk mengeksekusi kode arbitrer secara langsung di dalam server.
Pihak GitLab sebenarnya telah mengungkap keberadaan celah ini sekaligus merilis pembaruan keamanan pada 12 Oktober lalu. Dalam peringatannya, mereka menjelaskan bahwa penyerang dapat memicu kerentanan tersebut pada kondisi tertentu hanya dengan mengirimkan regular expression yang dirancang khusus ke dalam konfigurasi pipeline CI/CD.
Sayangnya, tim Alpine Linux pada awalnya justru memasang GitLab versi 19.3.4, bukan versi 19.3.5 yang telah membawa perbaikan. Upaya upgrade lanjutan ke versi 19.3.6 ternyata juga gagal menutup celah tersebut. Pasalnya, perbaikan CVE-2026-97229 membutuhkan patch langsung pada komponen Ruby—sesuatu yang sudah disertakan oleh GitLab di dalam paket resminya, namun luput dimasukkan ke dalam custom container image yang dikelola sendiri oleh Alpine.
Pada periode 20 hingga 21 Oktober, pelaku ancaman mulai mengirimkan konfigurasi CI berbahaya yang menargetkan celah tersebut hingga memicu delapan kali worker crashes. Empat di antaranya dilaporkan berhasil sebagian, meski tidak ada satu pun yang tampak sukses mengeksekusi serangan secara penuh. Tim internal juga mendapati fakta bahwa peretas sempat mengunduh GitLab container image milik Alpine, yang mengindikasikan adanya persiapan matang untuk melancarkan supply-chain attack.
Dampak Insiden dan Langkah Mitigasi
Berdasarkan hasil audit mendalam hingga tanggal 27 Oktober, tidak ditemukan adanya manipulasi atau perubahan mencurigakan pada repository commits, paket aplikasi, maupun versi rilis resmi. Selain itu, signing keys dipastikan tetap aman dan tidak terekspos karena kunci kriptografi tersebut memang tidak pernah disimpan di dalam server GitLab.
Kendati belum ada konfirmasi kebocoran data, apabila eksploitasi tersebut benar-benar berhasil menembus sistem, sejumlah informasi sensitif yang berpotensi terekspos meliputi detail profil pengguna, password hashes, 2FA secrets, CI/CD secrets, kredensial integrasi, hingga konten proyek privat.
Sebagai langkah pencegahan, seluruh pengguna dan kontributor diinstruksikan untuk segera mengatur ulang password akun GitLab mereka. Bagi pihak yang menggunakan container tersebut, sangat disarankan untuk segera menarik (pull) pembaruan image alpinelinux/gitlab:19.3.6 yang dirilis pada 27 Oktober karena sudah dilengkapi dengan Ruby 3.3.13 guna menutup celah CVE-2026-97229 secara permanen.
Sumber: Alpine Linux
