GitLab 주요 보안 릴리스 : 16.8.1, 16.7.4, 16.6.6, 16.5.8
GitLab Community Edition(CE) 및 Enterprise Edition(EE)용 GitLab 중요 보안 릴리스: 16.8.1, 16.7.4, 16.6.6, 16.5.8에 대해 자세히 알아보세요. 오늘 우리는 GitLab Community Edition(CE) 및 Enterprise Edition(EE)용 버전 16.8.1, 16.7.4, 16.6.6, 16.5.8을 출시합니다.
이 버전에는 중요한 보안 수정 사항이 포함되어 있으므로 모든 GitLab 설치를 즉시 이 버전 중 하나로 업그레이드하는 것이 좋습니다. GitLab.com 및 GitLab Dedicated 환경은 이미 패치 버전을 실행하고 있습니다.
GitLab은 전용 보안 릴리스의 취약점에 대한 패치를 릴리스합니다. 보안 릴리스에는 두 가지 유형이 있습니다. 즉, 기능 릴리스(매월 3번째 목요일에 배포) 일주일 후에 릴리스되는 월별 예약 보안 릴리스와 중요한 취약점에 대한 임시 보안 릴리스입니다. 자세한 내용은 보안 FAQ를 참조하세요 . 여기에서 정규 및 보안 릴리스 블로그 게시물을 모두 볼 수 있습니다 . 또한, 각 취약점을 자세히 설명하는 이는 패치가 적용된 릴리스로부터 30일 후에 이슈 추적기에 공개됩니다.
우리는 고객에게 노출되거나 호스트 고객 데이터가 가장 높은 보안 표준을 유지하는 GitLab의 모든 측면을 보장하기 위해 최선을 다하고 있습니다. 우수한 보안 위생을 유지하는 일환으로 모든 고객은 지원되는 버전에 맞는 최신 보안 릴리스로 업그레이드하는 것이 좋습니다. GitLab 인스턴스 보안에 대한 더 많은 모범 사례는 블로그 게시물에서 읽을 수 있습니다.
권장 조치
아래 버전에 해당된다면 가능한 한 빨리 최신 버전으로 업그레이드하는 것이 좋습니다 .
제품의 특정 배포 유형(옴니버스, 소스 코드, 헬름 차트 등)이 언급되지 않으면 모든 유형이 영향을 받는다는 의미입니다.
보안 조치 사항
워크스페이스 생성 중 임의의 파일 쓰기
16.5.8 이전 16.0, 16.6.6 이전 16.6, 16.7.4 이전 16.7, 16.8.1 이전 16.8의 모든 버전에 영향을 미치는 문제가 GitLab CE/EE에서 발견되었습니다. 이 문제에서는 인증된 사용자가 파일을 작성할 수 있습니다. 워크스페이스를 생성하는 동안 GitLab 서버의 임의 위치로 이동합니다. 이는 심각도가 매우높은 문제입니다( CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, 9.9). 이제 최신 릴리스에서 완화되었으며 CVE-2024-0402 가 할당되었습니다 .
이 보안 취약점에 대한 수정 사항은 16.6.6, 16.7.4 및 16.8.1 외에도 16.5.8로 백포트되었습니다. GitLab 16.5.8에는 이 취약점에 대한 수정 사항만 포함되어 있으며 이 블로그 게시물에 언급된 다른 수정 사항이나 변경 사항은 포함되어 있지 않습니다.
**Cargo.toml**Blob뷰어 의 ReDoS
16.6.6 이전 12.7, 16.7.4 이전 16.7, 16.8.1 이전 16.8의 모든 버전에 영향을 미치는 문제가 GitLab CE/EE에서 발견되었습니다. 공격자가 다음을 통해 정규식 서비스 거부를 트리거할 수 있었습니다. 악의적으로 제작된 입력이 Cargo.toml포함되어 있습니다. 이는 심각도가 중간인 문제입니다( CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H, 6.5). 이제 최신 릴리스에서 완화되었으며 CVE-2023-6159 가 할당되었습니다 .
사용자 이름에 HTML 삽입을 통한 임의 API PUT 요청
13.7 이후 16.6.6 이전, 16.7 이전 16.7.4 및 16.8 이전 16.8.1의 모든 버전에 영향을 미치는 문제가 GitLab CE/EE에서 발견되었습니다. 사용자 이름의 부적절한 입력 삭제로 인해 임의의 API PUT 요청이 허용됩니다. 이는 심각도가 중간인 문제입니다( CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N, 6.4). 이제 최신 릴리스에서 완화되었으며 CVE-2023-5933 이 할당되었습니다.
태그 RSS 피드에 공개 이메일 노출
16.6.6 이전, 16.7.4 이전 16.7, 16.8.1 이전 16.8의 모든 버전에 영향을 미치는 문제가 GitLab에서 발견되었습니다. 사용자 프로필의 공개 여부는 비활성화되었지만 태그 피드를 통해 사용자 이메일 주소를 읽을 수 있었습니다. 이는 심각도가 중간인 문제입니다( CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, 5.3). 이제 최신 릴리스에서 완화되었으며 CVE-2023-5612 가 할당되었습니다 .
비회원은 소유한 MR의 MR 담당자를 업데이트할 수 있습니다.
16.6.6 이전의 GitLab 버전 14.0, 16.7.4 이전의 16.7, 16.8.1 이전의 16.8에 인증 취약성이 존재합니다.
무단 공격자는 프로젝트 내에서 생성한 MR에 임의의 사용자를 할당할 수 있습니다. 이는 심각도가 중간인 문제입니다( CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N, 4.3). 이제 최신 릴리스에서 완화되었으며 CVE-2024-0456 이 할당되었습니다 .
추가 보완된 기능
16.8.1
- 종속성 gitlab-glfm-markdown을 '~> 0.0.11'로 업데이트합니다.
- 16.8로 백포트 Redis 마이그레이션
- [백포트] 가비지 수집 프로세스 최적화
- [백포트] GitLab Shell 버전을 14.33.0으로 변경
16.7.4
16.6.6
관련 글
GitLab 보안 패치 릴리즈 19.3.1, 19.2.5, 19.1.7
GitLab 19.3.1, 19.2.5 및 19.1.7 보안 패치 릴리즈는 7건의 보안 취약점을 수정했으며, 모든 셀프‑관리형 인스턴스가 즉시 최신 버전으로 업그레이드하도록 권고합니다. 주요 수정 사항에는 Duo Claude AI 에이전트의 신뢰할 수 없는 제어 영역, 가져오기 파이프라인 및 SCIM API의 DoS, 보호된 환경 접근 제어, 컴플라이언스 프레임워크 인가 우회, 파이프라인 실행 정책 데이터 처리, 병합 요청 승인 규칙 인가 문제가 포함된다. 각 CVE와 심각도, CVSS 점수가 제공되며, 업그레이드 시 데이터베이스 마이그레이션과 다운타임 고려가 필요합니다.
GitLab 긴급 보안 패치 19.2.4, 19.1.6, 19.0.8, 18.11.11
GitLab CE/EE 19.2.4, 19.1.6, 19.0.8 및 18.11.11 긴급 보안 패치는 CVE‑2026‑19478(코드 인젝션, CVSS 9.4)과 CVE‑2026‑19650(CSRF, CVSS 7.1) 두 가지 고위험 취약점을 해결하며, 모든 셀프‑관리형 인스턴스는 즉시 해당 버전으로 업그레이드해야 합니다. 패치 적용 후 90일 이내에 상세 이슈가 공개되며, 업그레이드 시 데이터베이스 마이그레이션과 다운타임(단일 노드) 또는 무중단 절차(다중 노드)를 고려해야 합니다. 자세한 내용은 GitLab 릴리즈 핸드북 및 보안 FAQ를 참조하십시오.
GitLab 보안 패치 릴리즈 19.2.2, 19.1.4, 19.0.6
GitLab 19.2.2, 19.1.4, 19.0.6 버전이 출시되었으며, 13건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 권장합니다. 주요 보안 취약점으로는 애널리틱스 대시보드의 크로스 사이트 스크립팅(XSS), CI/CD 파이프라인 API의 부적절한 인가, Duo Workflow Service의 인가 우회, CI 수동 작업 확인 모달의 XSS 등이 있습니다.