알파인 리눅스 프로젝트가 자체 GitLab 인스턴스에 대한 보안 사고를 공식 발표했습니다. 지난 10월 20일과 21일 이틀 동안 외부 공격자가 CVE-2026-97229 취약점을 악용해 시스템에 침투를 시도한 사건입니다.
공격자는 신규로 생성한 계정을 통해 특수하게 제작된 CI 설정 파일을 업로드했습니다. 이 과정에서 GitLab 워커 프로세스가 총 8번 크래시되는 현상이 발생했습니다. 분석 결과 4번의 크래시에서는 공격자가 익스플로잇 진행 중 일부 단계까지 도달했으나 다음 단계에서 실패했습니다.
운영진은 성공적인 코드 실행 흔적을 찾지 못했다고 밝혔습니다. 하지만 완전한 침투를 입증하거나 배제할 수 있는 증거가 남아 있지 않다는 판단 하에 해당 인스턴스를 완전히 손상된 것으로 간주했습니다. 이에 따라 기존 데이터를 모두 삭제하고 백업본으로부터 시스템을 처음부터 다시 구축하는 조치를 취했습니다.
이번 사건의 핵심은 취약점의 구조적 특성에 있습니다. CVE-2026-97229는 Ruby 언어 내장 정규식 엔진인 Onigmo의 정수 오버플로우 결함에서 비롯됩니다. GitLab이 10월 12일에 배포한 수정 버전은 자사 패키지에 포함된 Ruby에만 패치를 적용했습니다.
따라서 표준 Ruby를 사용하는 커스텀 빌드나 타사 컨테이너 이미지는 업데이트 후에도 여전히 취약 상태였습니다.
알파인 리눅스는 당시 19.3.4 버전을 사용하고 있었습니다. 이는 10월 12일의 공식 수정판보다 이전 버전이었습니다. 상류 Ruby 프로젝트는 10월 23일에야 3.3.13, 3.4.12, 4.0.9 버전에서 근본적인 해결책을 내놓았습니다.
공급망 관리 측면에서 자체 빌드 환경의 위험성이 드러난 셈입니다.
현재 알파인 리눅스 aports 저장소와 패키지, 그리고 10월 21일 릴리스 버전에는 변조 흔적이 없는 것으로 확인되었습니다. 다만 보안 원칙에 따라 모든 사용자의 비밀번호는 강제로 초기화되었습니다. 서비스 재개 시 로그인 페이지의 ‘비밀번호 찾기’ 기능을 이용해 새 암호를 설정해야 합니다.
운영진은 다른 사이트에서 동일한 비밀번호를 사용한 경우 그곳에서도 즉시 변경할 것을 권고했습니다. 자동화된 로그인 시도가 관측되었기 때문입니다. 질문이나 우려 사항이 있을 경우 infra@alpinelinux.org 주소로 연락하면 됩니다.
GitLab 인스턴스는 현재 내부 테스트 단계를 거치고 있으며, 완료 후 공개 일정이 공지될 예정입니다.