오늘은 GitLab Community Edition(CE)와 Enterprise Edition(EE)의 18.0.1, 17.11.3, 17.10.7 버전을 출시합니다. 이 버전들은 중요한 버그 및 보안 수정사항을 포함하고 있습니다. 자체 관리형 GitLab을 사용 중인 모든 설치 환경에서 즉시 이 버전들 중 하나로 업그레이드할 것을 강력히 권장합니다. GitLab.com은 이미 패치된 버전을 실행 중입니다. GitLab Dedicated 고객은 별도의 조치가 필요하지 않습니다.

GitLab은 취약점에 대한 수정사항을 패치 릴리즈로 제공합니다. 패치 릴리즈에는 두 가지 유형이 있습니다: 예정된 릴리즈와 높은 심각도의 취약점에 대한 임시 중요 패치입니다. 예정된 릴리즈는 매월 둘째 주와 넷째 주 수요일에 두 번 제공됩니다. 자세한 내용은 릴리즈 핸드북과 보안 FAQ를 참조하실 수 있습니다. GitLab의 모든 릴리즈 블로그 게시물은 여기에서 확인하실 수 있습니다.

보안 수정사항의 경우, 각 취약점에 대한 상세 내용은 패치가 적용된 릴리즈 후 30일이 지나면 이슈 트래커에 공개됩니다.

GitLab은 고객에게 노출되거나 고객 데이터를 호스팅하는 모든 측면이 최고 수준의 보안 표준을 준수하도록 보장하기 위해 최선을 다하고 있습니다. 적절한 보안 위생을 유지하기 위해, 모든 고객이 지원되는 버전의 최신 패치 릴리즈로 업그레이드하는 것을 강력히 권장합니다. GitLab 인스턴스 보안에 대한 더 자세한 모범 사례는 블로그 게시물에서 확인하실 수 있습니다.

권장 조치​

아래 설명된 문제의 영향을 받는 버전을 실행 중인 모든 설치 환경은 가능한 한 빨리 최신 버전으로 업그레이드할 것을 강력히 권장합니다. 제품의 특정 배포 유형(옴니버스, 소스 코드, 헬름 차트 등)이 언급되지 않은 경우, 이는 모든 유형이 영향을 받는다는 의미입니다.

보안 조치 사항​

이번 패치 릴리즈에서 주요 수정 사항은 다음과 같습니다.

수정사항심각도
GitLab의 보호되지 않은 대용량 블롭 엔드포인트로 인한 서비스 거부 공격 가능높음
부적절한 XPath 검증으로 인한 수정된 SAML 응답의 2단계 인증 우회 가능중간
Discord 웹훅 통합으로 인한 서비스 거부 발생 가능중간
제한되지 않은 Kubernetes 클러스터 토큰으로 인한 서비스 거부 위험중간
메모 위치 검증 미흡으로 인한 서비스 거부 위험중간
UI에서 숨겨진/마스킹된 변수 노출 가능성중간
2단계 인증 요구사항 우회중간
부분적으로 가려져야 할 이메일 주소 전체 노출중간
기밀 머지 리퀘스트의 브랜치 이름 혼동낮음
GraphQL 쿼리를 통한 작업 데이터 무단 접근낮음

보호되지 않은 GitLab의 대용량 블롭 엔드포인트로 인한 서비스 거부 공격 가능​

GitLab CE/EE의 17.10.7 이전 버전, 17.11.3 이전의 17.11 버전, 그리고 18.0.1 이전의 18.0 버전에서 취약점이 발견되었습니다. 인증된 공격자가 서버 리소스를 소진시켜 서비스 거부 상태를 유발할 수 있습니다. 이는 높은 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, 7.5). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2025-0993이 할당되었습니다.

부적절한 XPath 검증으로 인한 수정된 SAML 응답의 2단계 인증 우회 가능​

GitLab CE/EE의 11.1 버전부터 17.10.7 이전 버전, 17.11.3 이전의 17.11 버전, 그리고 18.0.1 이전의 18.0 버전에서 취약점이 발견되었습니다. 부적절한 XPath 검증으로 인해 특수한 조건에서 수정된 SAML 응답이 2단계 인증 요구사항을 우회할 수 있었습니다. 이는 중간 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N, 6.8). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2024-12093이 할당되었습니다.

Discord 웹훅 통합으로 인한 서비스 거부 공격 가능성​

GitLab CE/EE의 11.6 버전부터 17.10.7 이전 버전, 17.11.3 이전의 17.11 버전, 그리고 18.0.1 이전의 18.0 버전에서 취약점이 발견되었습니다. Discord 웹훅 통합으로 인해 서비스 거부가 발생할 수 있습니다. 이는 중간 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H, 6.5). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2024-7803이 할당되었습니다.

제한되지 않은 Kubernetes 클러스터 토큰으로 인한 DoS 위험​

GitLab CE/EE의 10.2 버전부터 17.10.7 이전 버전, 17.11.3 이전의 17.11 버전, 그리고 18.0.1 이전의 18.0 버전에서 취약점이 발견되었습니다. Kubernetes 통합에서 입력 유효성 검사가 미흡하여 인증된 사용자가 서비스 거부 상태를 유발할 수 있습니다. 이는 중간 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H, 6.5). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2025-3111이 할당되었습니다.

메모 위치 검증 미흡으로 인한 서비스 거부 위험​

GitLab CE/EE의 모든 17.10.7 이전 버전, 17.11.3 이전의 17.11 버전, 그리고 18.0.1 이전의 18.0 버전에서 취약점이 발견되었습니다. GitLab의 적절한 유효성 검사 부재로 인해 인증된 사용자가 서비스 거부 상태를 유발할 수 있습니다. 이는 중간 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H, 6.5). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2025-2853이 할당되었습니다.

UI에서 숨겨진/마스킹된 변수 노출 가능성​

GitLab CE/EE의 모든 17.10.7 이전 버전, 17.11.3 이전의 17.11 버전, 그리고 18.0.1 이전의 18.0 버전에서 취약점이 발견되었습니다. 공격자가 자신의 변수를 생성하고 HTTP 응답을 관찰하는 것만으로도 웹 UI에서 본인이 작성하지 않은 마스킹되거나 숨겨진 CI 변수를 확인할 수 있습니다. 이는 중간 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N, 4.9). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2025-4979가 할당되었습니다.

2단계 인증 요구사항 우회​

GitLab CE/EE의 16.8 버전부터 17.10.7 이전 버전, 17.11.3 이전의 17.11 버전, 그리고 18.0.1 이전의 18.0 버전에서 취약점이 발견되었습니다. 그룹 접근 제어로 인해 특정 사용자가 2단계 인증 요구사항을 우회할 수 있습니다. 이는 중간 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N, 4.6). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2025-0605가 할당되었습니다.

일부만 가려져야 할 이메일 주소 전체 확인 가능​

GitLab CE/EE의 17.1 버전부터 17.10.7 이전 버전, 17.11 이전의 17.11.3 버전, 그리고 18.0 이전의 18.0.1 버전에서 취약점이 발견되었습니다. 특정 조건에서 권한이 없는 사용자가 부분적으로 가려져야 할 이메일 주소를 전체적으로 볼 수 있습니다. 이는 중간 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N, 4.3). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2025-0679가 할당되었습니다.

기밀 MR에서의 브랜치 이름 혼동​

GitLab CE/EE의 12.1 버전부터 17.10.7 이전 버전, 17.11.3 이전의 17.11 버전, 그리고 18.0.1 이전의 18.0 버전에서 비즈니스 로직 오류가 발견되었으며, 공격자가 기밀 MR에서 브랜치 이름 혼동을 일으킬 수 있습니다. 이는 낮은 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N, 3.5). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2024-9163가 할당되었습니다.

GraphQL 쿼리를 통한 작업 데이터 무단 접근​

GitLab CE/EE의 18.0 버전부터 18.0.1 이전 버전에서 취약점이 발견되었습니다. 특정 상황에서 제한된 권한을 가진 사용자가 특별히 제작된 GraphQL 쿼리를 통해 작업 데이터에 접근할 수 있습니다. 이는 낮은 심각도 수준의 문제입니다(CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N, 2.7). 최신 릴리즈에서 이 문제가 해결되었으며 CVE-2025-1110가 할당되었습니다.

Mattermost 보안 업데이트 2025년 4월 29일​

Mattermost가 낮음 및 중간 수준의 보안 문제에 대한 최신 패치를 적용하도록 업데이트되었습니다.

버그 수정​

18.0.1​

17.11.3​

17.10.7​

업데이트​

GitLab을 업데이트하려면 업데이트 페이지를 참조하세요. GitLab Runner를 업데이트하려면 Runner 업데이트 페이지를 참조하세요.

원문 바로가기

더 많은 GitLab에 대한 정보와 데모가 궁금하신가요? 혹은 GitLab 업그레이드가 필요하신가요? 그렇다면 인포그랩에 연락하세요! DevOps 전문가가 도와드립니다. 지금 문의하기