\[보안정보\] GitLab 주요 보안 릴리스 15.11.2, 15.10.6, 15.9.7 (23.05.05) 릴리즈 패치
![\[보안정보\] GitLab 주요 보안 릴리스 15.11.2, 15.10.6, 15.9.7 (23.05.05) 릴리즈 패치](/img/release/2023-05-05-gitlab-security-release.webp)
2023년 5월 5일 GitLab 주요 보안 릴리즈 사항을 안내 드립니다.
해당 버전은 다음 릴리즈 버전에 대한 임시 릴리즈 버전입니다.
상기 버전을 사용하시고 있는 고객분들께서는 최대한 빨리 최신 버전으로 업그레이드 하는 것을 권장합니다.
[보안 릴리즈 필요 버전]
- 15.4~15.9.7 까지의 모든 버전
- 15.10~15.10.6 버전까지의 모든 버전
- 15.11~15.11.02 까지의 모든 버전
[보안성 조치 사항]
| 조치내역 | 심각도 |
|---|---|
| GraphQL을 통한 악성 러너 부착 특정 조건에서 인스턴스의 모든 GitLab 사용자 계정은 GraphQL 엔드포인트를 사용하여 인스턴스의 프로젝트에 악성 러너를 연결할 수 있는 문제에 대한 해결 보안 패치입니다. | Critical |
[비보안 패치]
15.10.6
관련 글
GitLab 보안 패치 릴리즈 19.3.1, 19.2.5, 19.1.7
GitLab 19.3.1, 19.2.5 및 19.1.7 보안 패치 릴리즈는 7건의 보안 취약점을 수정했으며, 모든 셀프‑관리형 인스턴스가 즉시 최신 버전으로 업그레이드하도록 권고합니다. 주요 수정 사항에는 Duo Claude AI 에이전트의 신뢰할 수 없는 제어 영역, 가져오기 파이프라인 및 SCIM API의 DoS, 보호된 환경 접근 제어, 컴플라이언스 프레임워크 인가 우회, 파이프라인 실행 정책 데이터 처리, 병합 요청 승인 규칙 인가 문제가 포함된다. 각 CVE와 심각도, CVSS 점수가 제공되며, 업그레이드 시 데이터베이스 마이그레이션과 다운타임 고려가 필요합니다.
GitLab 긴급 보안 패치 19.2.4, 19.1.6, 19.0.8, 18.11.11
GitLab CE/EE 19.2.4, 19.1.6, 19.0.8 및 18.11.11 긴급 보안 패치는 CVE‑2026‑19478(코드 인젝션, CVSS 9.4)과 CVE‑2026‑19650(CSRF, CVSS 7.1) 두 가지 고위험 취약점을 해결하며, 모든 셀프‑관리형 인스턴스는 즉시 해당 버전으로 업그레이드해야 합니다. 패치 적용 후 90일 이내에 상세 이슈가 공개되며, 업그레이드 시 데이터베이스 마이그레이션과 다운타임(단일 노드) 또는 무중단 절차(다중 노드)를 고려해야 합니다. 자세한 내용은 GitLab 릴리즈 핸드북 및 보안 FAQ를 참조하십시오.
GitLab 보안 패치 릴리즈 19.2.2, 19.1.4, 19.0.6
GitLab 19.2.2, 19.1.4, 19.0.6 버전이 출시되었으며, 13건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 권장합니다. 주요 보안 취약점으로는 애널리틱스 대시보드의 크로스 사이트 스크립팅(XSS), CI/CD 파이프라인 API의 부적절한 인가, Duo Workflow Service의 인가 우회, CI 수동 작업 확인 모달의 XSS 등이 있습니다.