GitLab, CVSS 10.0 취약점 긴급 패치
최근 30일 조회수 — 좋아요 —핵심 요약
GitLab이 인증 없이 원격 코드 실행이 가능한 취약점을 막고 자체 관리형 설치의 즉시 업그레이드를 권고했다.
GitLab이 10월 12일 커뮤니티 에디션(CE)과 엔터프라이즈 에디션(EE)의 긴급 패치 버전 19.4.2, 19.3.4, 19.2.8을 출시했다. 인증 없이 서버에서 임의 코드를 실행할 수 있는 최고 위험도 취약점을 포함해 여러 보안 문제를 막은 버전이다. GitLab은 영향을 받는 모든 자체 관리형 설치를 즉시 업그레이드하라고 권고했다. GitLab.com에는 이미 패치가 적용됐으며 GitLab Dedicated 고객은 별도로 조치할 필요가 없다.1
가장 심각한 문제는 CI/CD 정규식 컴파일러의 정수 오버플로 취약점 CVE-2026-97229다. 공격자가 특수하게 조작한 CI/CD 설정의 정규식을 이용해 특정 조건에서 인증 없이 GitLab 서버에서 임의 코드를 실행할 수 있었을 가능성이 있다. CVSS 점수는 최고점인 10.0이다. 영향 범위는 19.2 계열의 19.2.8 미만, 19.3 계열의 19.3.4 미만, 19.4 계열의 19.4.2 미만 버전이다.1
함께 수정된 CVE-2026-92883은 구문 강조 결과의 HTML 속성을 제대로 정제하지 않아 생긴 교차 사이트 스크립팅(XSS) 취약점이다. 인증된 사용자가 조작된 저장소를 통해 특정 조건에서 다른 사용자의 브라우저 세션에서 자바스크립트를 실행할 수 있었을 가능성이 있으며 CVSS 점수는 8.7이다. 19.1부터 각 패치 버전 직전까지가 영향을 받는다.1
다운스트림 파이프라인 생성 서비스의 권한 검사 오류인 CVE-2026-16301도 막혔다. 특정 조건에서 개발자 역할을 가진 사용자가 허가 없이 보호 브랜치에서 CI/CD 파이프라인을 실행할 수 있었을 가능성이 있는 문제로, CVSS 점수는 8.5다. 영향 범위는 18.7부터 19.2.8 미만과 19.3·19.4 계열의 이번 패치 이전 버전이다. GitLab은 배포 방식이 따로 명시되지 않은 취약점은 Omnibus, 소스 설치, Helm 차트 등 모든 방식에 해당한다고 설명했다.1
다만 19.3.4에는 Ona 연동을 켰을 때 병합 요청 페이지에 영향을 주는 버그가 확인됐다. 수정판은 19.3.5로 나올 예정이다. 보안 위험을 피하려면 업그레이드를 미루기보다 이 알려진 문제를 점검하면서 패치를 적용할 필요가 있다. 각 취약점의 상세 이슈는 패치 출시 90일 뒤 GitLab 이슈 추적기에 공개된다.1
Footnotes
읽기 목록은 이 브라우저에 저장됩니다.
출처
- GitLab Critical Patch Release: 19.4.2, 19.3.4, 19.2.8 — GitLab Blog
이 글은 위 출처를 근거로 자동 생성된 뒤 발행됐습니다. 원문을 함께 확인해 주세요. 교차 보도 없이 단독 출처로 작성됐습니다.