GitLab 주요 보안 패치 릴리즈 17.6.1, 17.5.3, 17.4.5

Project Manager

2024년 11월 27일 · 약 6분

GitLab Community Edition(CE) 및 Enterprise Edition(EE)용 GitLab 중요 보안 패치 릴리즈: 17.6.1, 17.5.3, 17.4.5에 대해 자세히 알아보세요. 이 버전에는 중요한 버그 및 보안 수정 사항이 포함되어 있으므로 모든 GitLab 설치를 즉시 이러한 버전 중 하나로 업그레이드하는 것이 좋습니다. GitLab.com은 이미 패치 버전을 실행하고 있습니다.

이번 패치 릴리즈에서 주요 수정 사항은 다음과 같습니다.

LFS 토큰을 통한 권한 상승
악의적으로 조작된 cargo.toml 파일 조회시 제어되지 않은 리소스 소비로 인한 DoS
범위가 지정된 토큰을 통한 사용 데이터에 대한 의도하지 않은 접근
Harbor 레지스트리 통합을 통한 GitLab DoS
test_report API 호출로 인한 리소스 소진 및 서비스 거부
스트리밍 엔드포인트가 해지 후 토큰을 무효화 하지 않음

GitLab 패치 릴리즈는 취약점에 대한 수정 사항을 릴리즈합니다. 패치 릴리즈에는 예정된 릴리즈와 심각도가 높은 취약점에 대한 임시 중요 패치라는 두 가지 유형이 있습니다. 예정 출시일은 한 달에 두 번 둘째, 넷째 수요일에 출시됩니다. 자세한 내용은 릴리즈 핸드북 및 보안 FAQ를 참조하세요. 여기에서 모든 GitLab 릴리즈 블로그 게시물을 볼 수 있습니다. 보안 수정의 경우, 각 취약점을 자세히 설명하는 문제는 패치가 적용된 릴리즈로부터 30일 후에 이슈 추적기에 공개됩니다 .

우리는 고객에게 노출되거나 호스트 고객 데이터가 가장 높은 보안 표준을 유지하는 GitLab의 모든 측면을 보장하기 위해 최선을 다하고 있습니다. 우수한 보안 수준을 유지하는 일환으로 모든 고객은 지원되는 버전의 최신 패치 릴리즈로 업그레이드하는 것이 좋습니다. 블로그 게시물에서 GitLab 인스턴스 보안에 대한 더 많은 모범 사례를 읽을 수 있습니다 .

권장 조치

아래 버전에 해당한다면 가능한 한 빨리 최신 버전으로 업그레이드하는 것이 좋습니다 .

제품의 특정 배포 유형(옴니버스, 소스 코드, 헬름 차트 등)이 언급되지 않으면 모든 유형이 영향을 받는다는 의미입니다.

보안 조치 사항

LFS 토큰을 통한 권한 상승

GitLab CE/EE의 8.12부터 17.4.5 이전 버전, 17.5부터 17.5.3 이전 버전, 17.6부터 17.6.1 이전 버전에 영향을 미치는 문제가 발견되었습니다. 이 문제로 인해 공격자가 피해자의 개인 액세스 토큰(PAT)에 접근할 경우 권한을 상승시킬 수 있습니다. 이는 높은 심각도의 문제입니다(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N, 8.2). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-8114가 할당되었습니다.

악의적으로 조작된 cargo.toml 파일 조회 시 제어되지 않은 리소스 소비로 인한 DoS

GitLab CE/EE의 12.6 이전부터 17.4.5 이전 버전, 17.5부터 17.5.3 이전 버전, 17.6부터 17.6.1 이전 버전에 영향을 미치는 서비스 거부(DoS) 문제가 발견되었습니다. 공격자가 조작된 cargo.toml 파일을 통해 서비스 거부를 유발할 수 있습니다. 이는 중간 심각도의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H, 6.5). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-8237가 할당되었습니다.

범위가 지정된 토큰을 통한 사용 데이터에 대한 의도하지 않은 접근

GitLab CE/EE의 16.9.8부터 17.4.5 이전 버전, 17.5부터 17.5.3 이전 버전, 17.6부터 17.6.1 이전 버전에 영향을 미치는 문제가 발견되었습니다. 토큰 범위의 과도하게 광범위한 적용으로 인해 특정 API 엔드포인트가 중요 데이터에 대한 무단 접근을 허용할 수 있습니다. 이는 중간 심각도의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N, 6.5). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-11669가 할당되었습니다.

Harbor 레지스트리 통합을 통한 GitLab DoS

GitLab CE/EE의 15.6부터 17.4.5 이전 버전, 17.5부터 17.5.3 이전 버전, 17.6부터 17.6.1 이전 버전에 영향을 미치며 악의적인 harbor 레지스트리 통합을 통해 서비스 거부를 유발할 수 있는 문제가 발견되었습니다. 이는 중간 심각도의 문제입니다(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H, 5.3). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-8177가 할당되었습니다.

test_report API 호출로 인한 리소스 소진 및 서비스 거부

GitLab CE/EE의 13.2.4부터 17.4.5 이전 버전, 17.5부터 17.5.3 이전 버전, 17.6부터 17.6.1 이전 버전에 영향을 미치는 서비스 거부(DoS) 상태가 발견되었습니다. 이 취약점을 이용하여 공격자가 조작된 API 호출을 전송함으로써 DoS 상태를 유발할 수 있습니다. 이는 중간 심각도의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L, 4.3). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-11828가 할당되었습니다.

스트리밍 엔드포인트가 해지 후 토큰을 무효화하지 않음

GitLab CE/EE의 16.11부터 17.4.5 이전 버전, 17.5부터 17.5.3 이전 버전, 17.6부터 17.6.1 이전 버전에 영향을 미치는 문제가 발견되었습니다. 장기 연결이 인증 제어를 우회하여 스트리밍 결과에 대한 무단 접근을 허용할 수 있습니다. 이는 중간 심각도의 문제입니다(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N, 4.2). 이는 최신 릴리즈에서 완화되었으며 CVE-2024-11668가 할당되었습니다.