دردسر Alpine Linux به‌ دلیل کوتاهی در اجرای وصله امنیتی

به‌گزارش آی سی تی نیوز، آسیب‌پذیریCVE-2026-97229با امتیاز بحرانیCVSS 10.0نوعی سرریز عددی در پردازش عبارت‌های منظمCI/CDاست که امکان اجرای کد بدون احراز هویت را فراهم می‌کند.

پروژهAlpine Linuxدر ۶ آبان (۲۸ اکتبر) اعلام کرد که در روزهای ۲۸ و ۲۹ مهر (۲۰ و ۲۱ اکتبر)، مهاجمی با استفاده از یک حساب کاربری تازه‌ثبت‌شده، پیکربندی‌های دست‌کاری‌شدهCIرا به مخزنGitLabاین پروژه ارسال کرده است، در زمان حمله، سرور هنوز وصله امنیتی منتشرشده در ۲۰ مهر(۱۲ اکتبر) را دریافت نکرده بود.این حمله هشت بار باعث از کار افتادن فرایندهایworkerشد.

تیمAlpine Linuxپذیرفته است که در فرایند به‌روزرسانی، به‌اشتباه نسخه19.3.4را به‌جای نسخه19.3.5نصب کرده بود.

این پروژه اعلام کرده که شواهدی مبنی بر موفقیت‌آمیز بودن حمله پیدا نکرده است، اما احتمال موفقیت آن را نیز رد نمی‌کند.به همین دلیل، سرور را از ابتدا بازسازی کرده و تمام گذرواژه‌ها و کلیدهای مخفی را تغییر داده است.

به گفتهAlpineبسته‌ها و نسخه‌های منتشرشده در این بازه زمانی با سوابق نگهداری‌شده خارج ازGitLabتطبیق داده شده‌اند و هیچ نشانه‌ای از دست‌کاری آن‌ها مشاهده نشده است.

CISAاین آسیب‌پذیری را در ۷ آبان (۲۹ اکتبر) به فهرستKEVاضافه کرد.

همچنین آسیب‌پذیری مشابه دیگری با شناسهCVE-2026-110264در 29 مهر اصلاح شده است؛ بنابراین، نصب وصله منتشرشده در ۱۲ اکتبر به‌تنهایی برای ایمن‌سازی کافی نیست.

نکته مهم این است که حمله تنها یک هفته پس از انتشار وصله امنیتی انجام شده است.