GitLab 주요 보안 릴리스: 16.6.1, 16.5.3, 16.4.3
2023년 11월 30일 GitLab 주요 보안 릴리스 사항을 안내 드립니다.
GitLab Community Edition(CE) 및 Enterprise Edition(EE)용 GitLab 보안 릴리스: 16.6.1, 16.5.3, 16.4.3에 대해 자세히 알아보세요. 이 버전에는 중요한 보안 수정 사항이 포함되어 있으므로 모든 GitLab 설치를 즉시 이 버전 중 하나로 업그레이드하는 것이 좋습니다. GitLab.com은 이미 패치 버전을 실행하고 있습니다.
GitLab은 전용 보안 릴리스의 취약점에 대한 패치를 릴리스합니다. 보안 릴리스에는 두 가지 유형이 있습니다. 즉, 기능 릴리스(매월 3번째 목요일에 배포) 일주일 후에 릴리스되는 월별 예약 보안 릴리스와 중요한 취약점에 대한 임시 보안 릴리스입니다. 자세한 내용은 보안 FAQ를 참조하세요.
여기에서 정규 및 보안 릴리스 블로그 게시물을 모두 볼 수 있습니다. 또한, 각 취약점을 자세히 설명하는 문제는 패치가 적용된 릴리스로부터 30일 후에 문제 추적기에 공개됩니다.
아래 설명된 문제의 영향을 받는 버전을 실행하는 모든 설치를 가능한 한 빨리 최신 버전으로 업그레이드하는 것이 좋습니다. 제품의 특정 배포 유형(옴니버스, 소스 코드, 헬름 차트 등)이 언급되지 않으면 모든 유형이 영향을 받는다는 의미입니다.
보안 조치 사항
| 조치내역 | 심각도 |
|---|---|
| Jira의 Banzai 파이프라인을 통한 Markdown의 XSS 및 ReDoS |
GitLab CE/EE의 Jira 통합 구성에서 부적절한 입력 처리로 인해, 15.10 이전의 16.6.1, 16.5 이전의 16.5.3, 그리고 16.4 이전의 16.4.3 모든 버전들이 영향을 받았습니다. 이로 인해 공격자가 피해자의 브라우저에서 자바스크립트를 실행할 수 있었습니다. 이는 심각도가 높은 문제로, CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N, 8.7를 받았습니다. 이 문제는 이제 최신 릴리스에서 해결되었으며, CVE-2023-6033이 할당되었습니다. | High | | admin_group_member 사용자 정의 권한을 가진 구성원은 더 높은 역할의 구성원을 추가할 수 있습니다.
GitLab EE에서 16.5 이전 16.5.3부터 시작하는 모든 버전과 16.6 이전 16.6.1부터 시작하는 모든 버전에서 문제가 발견되었습니다. 활성화된 사용자 정의 역할이 할당된 사용자에게는 ’admin_group_member` 자신보다 높은 정적 역할을 가진 구성원을 그룹에 추가하여 권한 상승이 발생할 수 있습니다.
이는 심각도가 높은 문제로 ( CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N, 8.1를 할당받았습니다. 이제 최신 릴리스에서 완화되었으며 CVE-2023-6396 이 할당되었습니다. | High |
| 릴리스 설명은 Atom 응답을 통해, 프로젝트 멤버로만 설정된 릴리스임에도 불구하고 공개 프로젝트에 표시됩니다.
GitLab에서는 11.3 이전 16.4.3부터 시작하는 모든 버전, 16.5 이전 16.5.3부터 시작하는 모든 버전, 그리고 16.6.1 이전 16.6부터 시작하는 모든 버전에 영향을 미치는 문제가 발견되었습니다. 프로젝트 멤버로만 설정된 릴리스에 대한 공개 액세스가 승인되지 않은 사용자에게도 Atom 엔드포인트를 통해 공개 프로젝트의 릴리스 설명이 보여지는 문제였습니다.
이는 심각도가 중간인 문제로, ( CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:H/A:N, 4.8)을 할당받았습니다. 이제 최신 릴리스에서 완화되었으며 CVE-2023-5226이 할당되었습니다 . | Medium |
| UI에서 리포지토리 콘텐츠 조작(CVE-2023-3401 우회)
16.4.3 이전의 모든 버전, 16.5에서 16.5.3 이전의 모든 버전, 그리고 16.6에서 16.6.1 이전의 모든 버전에서 GitLab에서 발견된 문제가 있습니다. 특정 상황에서 악의적인 사용자는 특별히 조작된 브랜치이름을 사용하여 금지된 브랜치 검사를 우회하여 UI의 리포지토리 콘텐츠를 조작할 수 있습니다.
이것은 중간 수준의 심각성을 가진 문제입니다(CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:H/A:N, 4.8). 이 문제는 최신 릴리스에서 완화되었으며, CVE-2023-5226으로 할당되었습니다. | Medium |
| 외부 사용자는 정책 봇을 악용하여 내부 프로젝트에 접근할 수 있습니다.
GitLab EE에서 문제가 발견되었습니다. 이는 16.2부터 16.4.3까지의 모든 버전, 16.5부터 16.5.3까지의 모든 버전, 그리고 16.6부터 16.6.1까지의 모든 버전에 영향을 미칩니다. 공격자가 정책 봇을 악용하여 내부 프로젝트에 접근할 수 있었습니다.
이 문제는 중간 수준의 심각도를 가지고 있습니다. (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N, 4.4). 이제 최신 릴리스에서 이 문제는 완화되었으며 CVE-2023-5995로 할당되었습니다. | Medium |
| Mermaid 순서도를 이용한 클라이언트 측 DOS
GitLab EE에서 문제가 발견되었습니다. 이 문제는 10.5 이전의 모든 버전부터 16.4.3, 16.5 이전의 모든 버전부터 16.5.3, 그리고 16.6.1 이전의 모든 버전부터 16.6에 영향을 미칩니다. 공격자가 악의적으로 제작된 Mermaid 다이어그램 입력을 이용하여 클라이언트 측 서비스 거부를 유발할 수 있었습니다.
이 문제는 중간 정도의 심각도를 가지고 있습니다CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L, 4.3). 이제 이 문제는 최신 릴리스에서 완화되었으며, CVE-2023-4912로 할당되었습니다. | Medium |
| 개발자는 Merge 권한이 없음에도 불구하고 보호된 Branch를 사용하여 파이프라인 스케줄을 업데이트할 수 있습니다.
GitLab에서 9.2 이전 16.4.3부터 시작하는 모든 버전, 16.5 이전 16.5.3부터 시작하는 모든 버전, 그리고 16.6.1 이전의 16.6부터 시작하는 모든 버전에 영향을 미치는 문제가 발견되었습니다. 이 문제는 개발자 역할의 사용자가 보호되지 않은 Branch에서 보호된 Branch로 파이프라인 스케줄을 업데이트할 수 있었습니다.
이 문제는 중간 정도의 심각도를 가지고 있습니다 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N, 4.3). 이제 이 문제는 최신 릴리스에서 해결되었고, CVE-2023-4317이 할당되었습니다. | Medium |
| Package registry 사용자는 비활성화된 상태에서도 공용 프로젝트의 Composer 패키지를 설치할 수 있습니다.
GitLab에서 13.2 이전 16.4.3부터, 16.5 이전 16.5.3부터, 그리고 16.6.1 이전 16.6부터 시작하는 모든 버전에 영향을 미치는 문제가 발견되었습니다. 패키지 레지스트리가 비활성화된 공개 프로젝트의 작성기 패키지에 사용자가 액세스할 수 있었습니다.
이 문제의 심각도는 중간입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N, 4.3). 이제 최신 릴리스에서 이 문제는 완화되었으며, CVE-2023-3964가 할당되었습니다. | Medium |
| 승인되지 않은 회원이 접근 권한을 얻을 경우, Allowed to push and merge 보호된 지점의 무결성에 영향을 미칠 수 있습니다.
GitLab EE에서 8.13 이전 16.4.3부터 시작하는 모든 버전, 16.5 이전 16.5.3부터 시작하는 모든 버전, 그리고 16.6.1 이전 16.6부터 시작하는 모든 버전에 영향을 미치는 문제가 발견되었습니다. Allowed to merge 그룹을 통해 권한을 부여받은 공격자가 게스트 사용자로서 권한을 남용하는 것이 가능했습니다.
이 문제는 낮은 심각도를 가지고 있습니다(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N, 3.1). 이 문제는 최신 릴리스에서 완화되었으며, CVE-2023-4658으로 할당되었습니다. | Low |
| | |
추가 보완된 기능
16.6.1
- 프로젝트 보관을 위한 Gitaly 종속성 설치(16.6 백포트)
- GitLab 페이지를 로드하는 간헐적인 404 오류 수정
- 사용자 API 검색 시 사용자 정의 정렬 순서를 선호합니다.
- "nil user로 인한 그룹 페이지 오류 수정"을 16-6-stable-ee로 백포트
- Mailroom에서 사용되는 경우 Redis에 대한 암호화된 설정 논리 Skip
+전역 검색에 대한 남용 감지에서 문자 허용- "ee에서 잠금 해제 파이프라인 크론 스케줄러 이동"을 16.6으로 백포트
- Pages_deployments 파일이 디스크에서 삭제되지 않는 버그 수정
- 백포트 - 확인 실패 메시지를 255자 제한
- 백포트 ""'sc1-release-goredis' 분기를 '마스터'로 병합"으로 되돌리기"
16.5.3
16.4.3
- 10871d71b171db38701bfefe15883b05c234ca6d를 백포트로
16-4-stable - "not-existing.com" 등록으로 인한 테스트 실패 수정 사항을 16.4로 백포트
asdf-bootstrapped-verify16.4의 범프 버전- 배지 및 업로드의 일괄 일괄 내보내기 수정
- [16.4] ci: GITLAB_ENV를 읽지 않음으로써 손상된 마스터를 수정
- 보안 확인 권한 확인 할당 수정
- 16.4의 경우: 지역 확인 상태 백필 작업이 배치 크기를 초과할 수 있는 문제 수정
- GEO : 확인 상태 배치 크기 줄이기
Eva
Project Manager
UI/UX 서비스 기획자로 커머스·시스템 구축·운영 등 다양한 프로젝트를 경험했습니다. 사용자 관점에서 요구사항을 빠르게 정리해 정책·IA·UX 흐름처럼 실행 가능한 구조로 설계하는 데 강점이 있습니다. 기획과 커뮤니케이션, 디자인, 개발 편식없이 일하는 잡식성 업무스타일을 가지고 있습니다.
이 저자의 글 모두 보기 →관련 글
GitLab 보안 패치 릴리즈 18.11.1, 18.10.4, 18.9.6
GitLab 18.11.1, 18.10.4, 18.9.6 보안 패치가 출시되어 주요 버그와 보안 취약점(CSRF, XSS, DoS 등)을 수정했으며, 모든 셀프‑관리 인스턴스는 즉시 업그레이드가 권장됩니다. 패치에는 데이터베이스 마이그레이션이 포함되고, 단일 노드에서는 다운타임이 발생하고 다중 노드에서는 무중단 업그레이드가 가능합니다. 주요 보안 이슈와 각 버전별 수정 사항, 업그레이드 절차 및 참고 문서가 제공됩니다.
2026년 4월 22일
GitLab 보안 패치 릴리즈 18.10.3, 18.9.5, 18.8.9
GitLab Community Edition과 Enterprise Edition의 18.10.3, 18.9.5, 18.8.9 버전이 출시되었으며, 중요한 버그 및 보안 수정 사항이 포함되어 있습니다. 모든 사용자는 즉시 최신 버전으로 업그레이드할 것을 권장하며, GitLab.com은 이미 패치된 버전을 실행 중입니다. 보안 수정 사항에는 여러 취약점이 포함되어 있으며, 각 취약점에 대한 자세한 내용은 30일 후에 공개됩니다. 업그레이드 시 다중 노드 배포가 가능하며, 새로운 마이그레이션은 포함되어 있지 않습니다.
2026년 4월 9일
GitLab 보안 패치 릴리즈 18.10.1, 18.9.3, 18.8.7
GitLab Community Edition과 Enterprise Edition의 18.10.1, 18.9.3, 18.8.7 버전이 출시되었으며, 12건의 보안 수정 사항과 여러 버그 수정을 포함하고 있어 즉시 업그레이드가 권장됩니다. 주요 취약점으로는 Jira Connect의 부적절한 파라미터 처리, GLQL API의 CSRF 문제 등이 있으며, 각 취약점에 대한 상세 정보는 30일 후 공개됩니다. 업그레이드 시 데이터베이스 마이그레이션에 주의해야 하며, 다중 노드 인스턴스는 무중단 업그레이드가 가능합니다.
2026년 4월 2일