GitLab 주요 보안 패치 릴리즈 17.8.1, 17.7.3, 17.6.4
오늘은 GitLab Community Edition(CE)와 Enterprise Edition(EE)의 17.8.1, 17.7.3, 17.6.4 버전을 출시합니다. 이번 버전들은 중요한 버그 및 보안 수정사항을 포함하고 있으며, 자체 관리형 GitLab을 사용 중인 모든 설치 환경에서 즉시 이 버전들 중 하나로 업그레이드할 것을 강력히 권장합니다. GitLab.com은 이미 패치된 버전을 실행 중입니다. GitLab Dedicated 고객은 별도의 조치가 필요하지 않습니다.
이번 패치 릴리즈에서 주요 수정 사항은 다음과 같습니다.
| 수정사항 | 심각도 |
|---|---|
| Asciidoctor 렌더링을 통한 저장형 XSS | 높음 |
| 개발자가 CI 린트를 통해 보호된 CI/CD 변수를 유출할 수 있는 문제 | 중간 |
| 에픽의 순환 참조로 인한 리소스 고갈 | 중간 |
GitLab은 패치 릴리즈를 통해 취약점 수정사항을 제공합니다. 패치 릴리즈에는 두 가지 유형이 있습니다: 정기 릴리즈와 고심각도 취약점에 대한 임시 긴급 패치입니다. 정기 릴리즈는 매월 둘째 주와 넷째 주 수요일에 두 번 제공됩니다. 자세한 내용은 릴리즈 핸드북과 보안 FAQ를 참조하실 수 있습니다. GitLab의 모든 릴리즈 블로그 게시물은 여기에서 확인하실 수 있습니다.
보안 수정사항의 경우, 각 취약점에 대한 상세 이슈는 패치가 적용된 릴리즈 이후 30일이 지나면 이슈 트래커에 공개됩니다.
우리는 고객에게 노출되거나 고객 데이터를 호스팅하는 GitLab의 모든 측면이 최고 수준의 보안 표준을 유지하도록 보장하기 위해 최선을 다하고 있습니다. 적절한 보안 위생 관리의 일환으로, 모든 고객이 지원되는 버전의 최신 패치 릴리즈로 업그레이드하실 것을 적극 권장합니다. GitLab 인스턴스 보안을 위한 더 많은 모범 사례를 블로그 게시물에서 확인하실 수 있습니다.
권장 조치
아래 설명된 문제의 영향을 받는 버전을 실행 중인 모든 설치 환경은 최신 버전으로 가능한 한 빨리 업그레이드할 것을 강력히 권장합니다.
제품의 특정 배포 유형(옴니버스, 소스 코드, 헬름 차트 등)이 언급되지 않은 경우, 이는 모든 유형이 영향을 받는다는 의미입니다.
보안 조치 사항
Asciidoctor 렌더링을 통한 저장형 XSS
GitLab CE/EE의 17.2부터 17.6.4 이전 버전, 17.7부터 17.7.3 이전 버전, 그리고 17.8부터 17.8.1 이전 버전에서 취약점이 발견되었습니다. 특정 파일 유형의 부적절한 렌더링으로 인해 크로스 사이트 스크립팅이 발생할 수 있었습니다. 이는 높은 심각도 문제(CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N, 8.7)입니다. 최신 릴리즈에서 해결되었으며 CVE-2025-0314가 할당되었습니다.
개발자가 CI 린트를 통해 보호된 CI/CD 변수를 유출할 수 있는 문제
GitLab CE/EE의 17.0부터 17.6.4 이전 버전, 17.7부터 17.7.3 이전 버전, 그리고 17.8부터 17.8.1 이전 버전에서 취약점이 발견되었습니다. 특정 조건에서 개발자 권한을 가진 사용자가 CI 린트를 통해 보호된 CI/CD 변수를 유출할 수 있었습니다. 이는 중간 심각도 문제(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N, 6.4)입니다. 최신 릴리즈에서 해결되었으며 CVE-2024-11931이 할당되었습니다.
에픽의 순환 참조로 인한 리소스 고갈
GitLab CE/EE의 15.7부터 17.6.4 이전 버전, 17.7부터 17.7.3 이전 버전, 그리고 17.8부터 17.8.1 이전 버전에서 취약점이 발견되었습니다. 에픽 간의 순환 참조를 생성하여 DoS를 유발할 수 있었습니다. 이는 중간 심각도 문제(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L, 4.3)입니다. 최신 릴리즈에서 해결되었으며 CVE-2024-6324가 할당되었습니다.
추가 보완 및 버그/수정 기능
17.8.1
17.7.3
17.6.4
- Toolbox: AzCopy URL 업데이트 (업스트림 변경) - 17-6-stable
- 문서에는 표시되지 않아야 한다고 명시되어 있음에도 비공개 프로필에서 계정 생성일이 표시되는 문제
업데이트
GitLab을 업데이트하려면 업데이트 페이지를 참조하세요. GitLab Runner를 업데이트하려면 Runner 업데이트 페이지를 참조하세요.
더 많은 GitLab에 대한 정보와 데모가 궁금하신가요? 혹은 GitLab 업그레이드가 필요하신가요? 그렇다면 인포그랩에 연락하세요! DevOps 전문가가 도와드립니다.
관련 글
GitLab 보안 패치 릴리즈 19.5.4, 19.4.6, 19.3.8
GitLab 19.5.4, 19.4.6, 19.3.8 긴급 패치가 출시되었습니다. GitLab에 포함된 git의 힙 버퍼 오버플로 취약점(CVE-2026-105437, 심각도 Critical) 한 건을 수정합니다. 특정 조건에서 Gitaly 환경 안에서 임의 명령을 실행할 수 있는 취약점이라 즉시 업그레이드를 권장합니다. 공식 Linux 패키지와 컨테이너 이미지에는 수정된 git이 들어 있고, 소스에서 직접 빌드한 설치는 Gitaly와 별도 git을 다시 빌드해야 합니다. 이번 버전에는 새 마이그레이션이 없습니다.
GitLab 보안 패치 릴리즈 19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11, 18.11.14
GitLab 19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11, 18.11.14 패치가 출시되었습니다. 개인키가 유출된 eMudhra 중간 CA 인증서 8개의 신뢰를 GitLab이 배포하는 인증서 저장소에서 제거한 수정(CVE-2026-111943) 한 건이 포함됩니다. GitLab만 올려서는 끝나지 않습니다. GitLab Runner를 19.5.1로, AI Gateway를 해당 버전으로 각각 따로 올려야 하며, 자체 ca-certificates 패키지를 포함한 CI/CD 작업 이미지는 다시 빌드해야 합니다. 19.5.3과 19.4.5에는 일반 마이그레이션이 포함되어 단일 노드 설치는 업그레이드 중 다운타임이 발생합니다.
GitLab 크리티컬 보안 패치 릴리즈 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 2건을 포함한 12건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 특수하게 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), OmniAuth SAML과 LDAP 자동 연결 시 기존 LDAP 계정 탈취가 가능한 부적절한 인증(CVSS 8.2), OAuth/OIDC 디스커버리 엔드포인트 캐시 오염(CVSS 7.5)이 있습니다.