การโจมตีครั้งนี้ใช้ประโยชน์จากช่องโหว่ CVE-2026-97229 ซึ่งเป็นช่องโหว่ Integer Overflow ระดับสูงสุดใน Onigmo ตัวคอมไพเลอร์นิพจน์ปกติของ GitLab ที่รวมอยู่ใน Ruby ซึ่งอาจทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถรันโค้ดตามใจชอบบนเซิร์ฟเวอร์ได้
GitLab ได้เปิดเผยข้อบกพร่องนี้และปล่อยการแก้ไขเมื่อวันที่ 12 ตุลาคม โดยเตือนว่าผู้โจมตีสามารถกระตุ้นมันได้โดยการส่งนิพจน์ปกติที่ถูกสร้างขึ้นมาอย่างเฉพาะเจาะจงในคอนฟิกูเรชัน CI/CD
การอัปเกรดในภายหลังเป็นเวอร์ชัน 19.3.6 ก็ยังไม่สามารถปิดช่องโหว่นี้ได้ เนื่องจากต้องมีการแพตช์ Ruby ซึ่ง Alpine ใช้ในคอนเทนเนอร์ของตนไม่มี
ในช่วงวันที่ 20-21 ตุลาคม ผู้โจมตีได้ส่งคอนฟิกูเรชัน CI ที่เป็นอันตราย ซึ่งทำให้เกิดการล่มของเวิร์กเกอร์แปดตัว แม้ว่าการโจมตีจะประสบความสำเร็จบางส่วน แต่ก็ไม่พบหลักฐานการถูกบุกรุกข้อมูลใดๆ ที่ได้รับการยืนยัน
หากการโจมตีสำเร็จ ข้อมูลที่อาจถูกเปิดเผยได้แก่ รายละเอียดผู้ใช้, แฮชรหัสผ่าน, ข้อมูลลับ 2FA, ข้อมูลลับ CI/CD และเนื้อหาโปรเจกต์ส่วนตัว
ศัพท์ที่ควรรู้
- Alpine Linux – ระบบปฏิบัติการที่ใช้ในการพัฒนาของ Alpine Linux
- GitLab – แพลตฟอร์มที่ใช้ในการจัดการซอร์สโค้ดและกระบวนการ CI/CD
- RCE (Remote Code Execution) – ช่องโหว่ที่อนุญาตให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์จากระยะไกล
- CVE-2026-97229 – รหัสเฉพาะของช่องโหว่ที่ถูกค้นพบใน GitLab
ที่มา: bleepingcomputer.com