GitLab 주요 보안 릴리스 16.1.2, 16.0.7 및 15.11.11 (23.07.05) 릴리즈 패치
2023년 7월 5일 GitLab 주요 보안 릴리스 사항을 안내 드립니다.
본 보안 릴리스는 GitLab 커뮤니티 에디션(CE) 및 엔터프라이즈 에디션(EE)용 GitLab 보안 릴리스, 16.1.2, 16.0.7 및 15.11.11에 대한 릴리스입니다.
해당 버전은 다음 릴리스 버전에 대한 임시 릴리스 버전으로 GitLab.com은 이미 패치된 버전을 적용하고 있습니다.
상기 버전을 사용하시고 있는 고객분들께서는 최대한 빨리 최신 버전으로 업그레이드 하는 것을 권장합니다.
[보안 릴리스 필요 버전]
GitLab 커뮤니티 에디션(CE) 및 엔터프라이즈 에디션(EE)용 대상
GitLab.com(SaaS)은 이미 패치된 버전을 적용
- 12.8~ 15.11.10 까지의 모든 버전
- 16.0~16.06 이전의 모든 버전
- 16.1~16.1.1 까지의 모든 버전
[보안성 조치 사항]
| 조치내역 | 심각도 |
|---|---|
| 사용자가 일부 Pubilc GitLab 그룹의 이름과 경로를 변경할 수 있음 공격자는 특정 상황에서 공개 최상위 그룹의 이름이나 경로를 변경할 수 있습니다. 이는 심각도가 높은 문제입니다( CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H, 8.0). 이제 최신 릴리스에서 완화되었으며 CVE-2023-3484가 지정되었습니다. | Critical |
[비보안 패치]
16.1.2
- Mermaid iFrames의 웹팩 경로 재설정
- Bitbucket Cloud Importer 수정: 16.1 백포트
- GitHub Importer 수정: 16.1 백포트
- Wiki 사이드바 탐색에서 제목이 겹치는 버그 수정
- 16.1로 업그레이드 후 환경 수정 탭이 비는 버그 수정
관련 글
GitLab 크리티컬 보안 패치 릴리즈 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 2건을 포함한 12건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 특수하게 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), OmniAuth SAML과 LDAP 자동 연결 시 기존 LDAP 계정 탈취가 가능한 부적절한 인증(CVSS 8.2), OAuth/OIDC 디스커버리 엔드포인트 캐시 오염(CVSS 7.5)이 있습니다.
GitLab 크리티컬 보안 패치 릴리즈 19.4.2, 19.3.5, 19.2.8
GitLab 19.4.2, 19.3.5, 19.2.8 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 5건을 포함한 24건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), 구문 강조의 크로스 사이트 스크립팅(CVSS 8.7), 다운스트림 파이프라인 생성 서비스의 부적절한 인가(CVSS 8.5)가 있습니다.
GitLab 크리티컬 보안 패치 릴리즈 19.4.1, 19.3.3, 19.2.7
GitLab 19.4.1, 19.3.3, 19.2.7 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 2건·높음 2건을 포함한 11건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 서버에서 임의 코드를 실행할 수 있는 정규식 파서 이중 해제(CVSS 9.9)와 정규식 컴파일러 정수 오버플로(CVSS 9.9), 머지 요청 diff 뷰어의 크로스 사이트 스크립팅(CVSS 8.7)이 있습니다.