GitLab 주요 보안 패치 릴리즈 17.4.2, 17.3.5, 17.2.9

GitLab Community Edition(CE) 및 Enterprise Edition(EE)용 GitLab 중요 보안 패치 릴리즈: 17.4.2, 17.3.5, 17.2.9에 대해 자세히 알아보세요. 이 버전에는 중요한 버그 및 보안 수정 사항이 포함되어 있으므로 모든 GitLab 설치를 즉시 이러한 버전 중 하나로 업그레이드하는 것이 좋습니다. GitLab.com은 이미 패치 버전을 실행하고 있습니다.

이번 패치 릴리즈에서 주요 수정 사항은 다음과 같습니다.

임의의 브랜치에서 파이프라인 실행
공격자가 임의의 사용자 사칭 가능
애널리틱스 대시보드의 SSRF

GitLab 패치 릴리즈는 취약점에 대한 수정 사항을 릴리즈합니다. 패치 릴리즈에는 예정된 릴리즈와 심각도가 높은 취약점에 대한 임시 중요 패치라는 두 가지 유형이 있습니다. 예정 출시일은 한 달에 두 번 둘째, 넷째 수요일에 출시됩니다. 자세한 내용은 릴리즈 핸드북 및 보안 FAQ를 참조하세요. 여기에서 모든 GitLab 릴리즈 블로그 게시물을 볼 수 있습니다. 보안 수정의 경우, 각 취약점을 자세히 설명하는 문제는 패치가 적용된 릴리즈로부터 30일 후에 이슈 추적기에 공개됩니다 .

우리는 고객에게 노출되거나 호스트 고객 데이터가 가장 높은 보안 표준을 유지하는 GitLab의 모든 측면을 보장하기 위해 최선을 다하고 있습니다. 우수한 보안 수준을 유지하는 일환으로 모든 고객은 지원되는 버전의 최신 패치 릴리즈로 업그레이드하는 것이 좋습니다. 블로그 게시물에서 GitLab 인스턴스 보안에 대한 더 많은 모범 사례를 읽을 수 있습니다 .

권장 조치

아래 버전에 해당한다면 가능한 한 빨리 최신 버전으로 업그레이드하는 것이 좋습니다 .

제품의 특정 배포 유형(옴니버스, 소스 코드, 헬름 차트 등)이 언급되지 않으면 모든 유형이 영향을 받는다는 의미입니다.

보안 조치 사항

임의의 브랜치서 파이프라인 실행

12.5 버전부터 17.2.9 이전 버전, 17.3 버전부터 17.3.5 이전 버전, 17.4 버전부터 17.4.2 이전 버전 등 모든 버전에 영향을 미치는 문제가 GitLab EE에서 발견되었습니다. 이 문제는 임의의 브랜치에 파이프라인을 실행할 수 있는 것으로, 심각도가 매우 높은 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N, 9.6). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-9164로 지정되었습니다.

공격자가 임의의 사용자 사칭 가능

11.6 버전부터 17.2.9 이전 버전, 17.3 버전부터 17.3.5 이전 버전, 17.4 버전부터 17.4.2 이전 버전 등 모든 버전에 영향을 미치는 GitLab CE/EE에서 문제가 발견되었습니다. 이 문제는 특정 상황에서 공격자가 다른 사용자로 파이프라인을 트리거할 수 있는 것으로, 심각도가 높은 문제입니다(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-8970으로 지정되었습니다.

애널리틱스 대시보드의 SSRF

15.10 버전부터 17.2.9 이전 버전, 17.3 버전부터 17.3.5 이전 버전, 17.4 버전부터 17.4.2 이전 버전 등 모든 버전에 영향을 미치는 문제가 GitLab EE에서 발견되었습니다. Product Analytics 대시보드가 구성, 활성화된 인스턴스는 SSRF 공격에 취약할 수 있습니다. 이는 심각도가 높은 문제입니다(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-8977로 지정되었습니다.

충돌 있는 MR diff 보기 둔화

13.6 버전부터 17.2.9 이전 버전, 17.3 버전부터 17.3.5 이전 버전, 17.4 버전부터 17.4.2 이전 버전 등 모든 버전에 영향을 미치는 문제가 GitLab CE/EE에서 발견되었습니다. 이 문제는 충돌이 있는 MR의 diff를 보는 속도가 느려지는 것으로, 심각도가 높은 문제입니다(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, 7.5). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-9631로 지정되었습니다.

OAuth 페이지의 HTMLi

17.1 버전부터 17.2.9 이전 버전, 17.3 버전부터 17.3.5 이전 버전, 17.4 버전부터 17.4.2 이전 버전 등 모든 버전에 영향을 미치는 교차 사이트 스크립팅 문제가 GitLab에서 발견되었습니다. 이 문제는 새 애플리케이션을 승인할 때, 특정 상황에서 HTML로 렌더링 되도록 설정할 수 있는 것으로, 심각도가 높은 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N, 7.3). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-6530으로 지정되었습니다.

배포 키가 아카이브 된 리포지터리에 변경 사항 푸시 가능

8.16 버전부터 17.2.9 이전 버전, 17.3 버전부터 17.3.5 이전 버전, 17.4 버전부터 17.4.2 이전 버전 등 모든 버전에 영향을 미치는 문제가 GitLab CE/EE에서 발견되었습니다. 이 문제는 배포 키를 아카이브 된 리포지터리로 푸시할 수 있는 것으로, 중간 심각도 문제입니다(CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N, 4.9). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-9623으로 지정되었습니다.

게스트, 프로젝트 템플릿 공개

11.4 버전부터 17.2.9 이전 버전 등 모든 버전, 17.3 버전부터 17.3.5 이전 버전 등 모든 버전, 17.4 버전부터 17.4.2 이전 버전 등 모든 버전에 영향을 미치는 문제가 GitLab EE/CE에서 발견되었습니다. 이 문제는 게스트 사용자가 API를 사용하여 프로젝트 템플릿을 공개할 수 있는 것으로, 중간 심각도 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N, 4.3). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-5005로 지정되었습니다.

권한 없는 사용자에게 GitLab 인스턴스 버전 공개

16.6 버전부터 17.2.9 이전 버전, 17.3 버전부터 17.3.5 이전 버전, 17.4 버전부터 17.4.2 이전 버전 등 모든 버전에 영향을 미치는 문제가 GitLab EE에서 발견되었습니다. 이 문제는 인증되지 않은 공격자가 GitLab 인스턴스의 GitLab 버전 번호를 확인할 수 있는 것으로, 심각도가 낮은 문제입니다(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N, 3.7). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-9596으로 지정되었습니다.

추가 보완 및 버그/수정 기능

17.4.2

17.3.5

17.2.9

원문 바로가기

업그레이드 페이지 바로가기

더 많은 GitLab에 대한 정보와 데모가 궁금하신가요? 혹은 GitLab 업그레이드가 필요하신가요? 그렇다면 인포그랩에 연락하세요! DevOps 전문가가 도와드립니다. 지금 문의하기