\[보안정보\] GitLab 주요 보안 릴리스 15.11.2, 15.10.6, 15.9.7 (23.05.05) 릴리즈 패치
![\[보안정보\] GitLab 주요 보안 릴리스 15.11.2, 15.10.6, 15.9.7 (23.05.05) 릴리즈 패치](/img/release/2023-05-05-gitlab-security-release.webp)
2023년 5월 5일 GitLab 주요 보안 릴리즈 사항을 안내 드립니다.
해당 버전은 다음 릴리즈 버전에 대한 임시 릴리즈 버전입니다.
상기 버전을 사용하시고 있는 고객분들께서는 최대한 빨리 최신 버전으로 업그레이드 하는 것을 권장합니다.
[보안 릴리즈 필요 버전]
- 15.4~15.9.7 까지의 모든 버전
- 15.10~15.10.6 버전까지의 모든 버전
- 15.11~15.11.02 까지의 모든 버전
[보안성 조치 사항]
| 조치내역 | 심각도 |
|---|---|
| GraphQL을 통한 악성 러너 부착 특정 조건에서 인스턴스의 모든 GitLab 사용자 계정은 GraphQL 엔드포인트를 사용하여 인스턴스의 프로젝트에 악성 러너를 연결할 수 있는 문제에 대한 해결 보안 패치입니다. | Critical |
[비보안 패치]
15.10.6
관련 글
GitLab 크리티컬 보안 패치 릴리즈 19.4.2, 19.3.5, 19.2.8
GitLab 19.4.2, 19.3.5, 19.2.8 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 5건을 포함한 24건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), 구문 강조의 크로스 사이트 스크립팅(CVSS 8.7), 다운스트림 파이프라인 생성 서비스의 부적절한 인가(CVSS 8.5)가 있습니다.
GitLab 크리티컬 보안 패치 릴리즈 19.4.1, 19.3.3, 19.2.7
GitLab 19.4.1, 19.3.3, 19.2.7 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 2건·높음 2건을 포함한 11건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 서버에서 임의 코드를 실행할 수 있는 정규식 파서 이중 해제(CVSS 9.9)와 정규식 컴파일러 정수 오버플로(CVSS 9.9), 머지 요청 diff 뷰어의 크로스 사이트 스크립팅(CVSS 8.7)이 있습니다.
GitLab 긴급(크리티컬) 보안 패치 릴리즈 19.3.2, 19.2.6, 19.1.8
GitLab 19.3.2, 19.2.6, 19.1.8 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 2건·높음 6건을 포함한 18건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 인증 없이 서버의 임의 파일을 읽을 수 있는 저장소 커밋 API 경로 조작(CVSS 10.0), GraphQL 구독 직렬화기의 안전하지 않은 역직렬화(CVSS 9.9), 고급 검색 인덱싱의 버퍼 오버플로를 통한 원격 코드 실행(CVSS 8.5)이 있습니다. (9월 23일 추가: 크리티컬 2건을 18.11·19.0 라인에 백포트한 19.0.9, 18.11.12 출시, CVE-2026-85706 CISA KEV 등재)