GitLab 보안 패치 릴리즈 19.2.1, 19.1.3, 19.0.5
오늘 GitLab Community Edition(CE)과 Enterprise Edition(EE)에 대해 19.2.1, 19.1.3, 19.0.5 버전이 출시되었습니다. 이 버전들은 13건의 보안 수정 사항을 포함하고 있으므로, 모든 셀프 관리형 GitLab 인스턴스는 즉시 이 중 하나의 버전으로 업그레이드하시길 강력히 권장합니다. GitLab.com은 이미 보안 패치가 적용된 버전을 사용 중이며, GitLab Dedicated 고객은 별도의 조치가 필요하지 않습니다. GitLab은 패치 릴리즈를 통해 취약점에 대한 수정사항을 제공합니다. 패치 릴리즈는 정기 릴리즈와 심각도가 높은 취약점에 대한 긴급 릴리즈, 이렇게 두 가지 유형이 있습니다. 정기 릴리즈는 매월 둘째, 넷째 수요일에 배포됩니다. 자세한 내용은 릴리즈 핸드북과 보안 FAQ에서 확인하실 수 있습니다. 모든 GitLab 릴리즈 블로그 게시글은 여기에서 볼 수 있습니다.
보안 수정 사항의 경우, 각 취약점에 대한 상세 이슈는 패치가 적용된 릴리즈 이후 90일이 지나면 이슈 트래커를 통해 공개됩니다. GitLab은 고객에게 노출되거나 고객 데이터를 저장하는 모든 측면이 최고 수준의 보안 기준을 충족하도록 최선을 다하고 있습니다. 보안 수준을 유지하기 위해, 모든 고객이 지원되는 최신 패치 릴리즈로 업그레이드하는 것을 강력히 권장합니다.
권장 조치
아래 설명된 문제의 영향을 받는 버전을 실행 중인 모든 설치를 가능한 한 빨리 최신 버전으로 업그레이드할 것을 강력히 권장합니다. 제품의 특정 배포 유형(omnibus, 소스 코드, helm 차트 등)이 명시되지 않은 경우, 모든 유형이 영향을 받는다는 것을 의미합니다.
보안 취약점
이번 릴리즈에서 수정된 보안 취약점 목록입니다. (총 13건)
| CVE | 제목 | 심각도 | CVSS |
|---|---|---|---|
| CVE-2026-6267 | Workhorse의 민감 정보 노출(Sensitive Information Exposure) 문제가 GitLab CE/EE에 영향 | 높음 | 8.5 |
| CVE-2026-12436 | 파이프라인 스케줄(Pipeline Schedule) API의 대량 할당(Mass Assignment) 문제가 GitLab CE/EE에 영향 | 높음 | 8.4 |
| CVE-2026-15975 | 병합 요청 토론(Merge Request Discussions)의 서비스 거부(DoS) 문제가 GitLab CE/EE에 영향 | 높음 | 7.5 |
| CVE-2026-13113 | 병합 요청 승인 규칙(Approval Rules)의 경쟁 상태(Race Condition) 문제가 GitLab EE에 영향 | 중간 | 6.5 |
| CVE-2026-16553 | 가상 레지스트리(Virtual Registries)의 불충분하게 보호된 자격 증명 문제가 GitLab EE에 영향 | 중간 | 5.4 |
| CVE-2026-6336 | 프로젝트 가져오기 상태(Project Import Status)의 부적절한 접근 제어 문제가 GitLab CE/EE에 영향 | 중간 | 5.3 |
| CVE-2026-14341 | 프로젝트 가져오기 기능의 부적절한 인가(Improper Authorization) 문제가 GitLab CE/EE에 영향 | 중간 | 4.9 |
| CVE-2026-3093 | 페이지네이션 뷰(Paginated Views)의 크로스 사이트 스크립팅(XSS) 문제가 GitLab CE/EE에 영향 | 중간 | 4.7 |
| CVE-2026-15077 | Duo 코드 리뷰(Duo Code Review)의 프롬프트 인젝션(Prompt Injection) 문제가 GitLab EE에 영향 | 중간 | 4.3 |
| CVE-2026-15831 | Duo Workflows의 잘못된 보안 토큰 생성(Incorrect Security Token Generation) 문제가 GitLab EE에 영향 | 중간 | 4.3 |
| CVE-2026-14351 | 병합 요청 제목 생성(MR Title Generation)의 민감 정보 노출 문제가 GitLab CE/EE에 영향 | 중간 | 4.3 |
| CVE-2026-4672 | 파이프라인 테스트 리포트(Pipeline Test Report) API의 부적절한 접근 제어 문제가 GitLab CE/EE에 영향 | 중간 | 4.3 |
| CVE-2025-14562 | 병합 요청 협업 설정(MR Collaboration Settings)의 잘못된 인가(Incorrect Authorization) 문제가 GitLab CE/EE에 영향 | 낮음 | 3.1 |
CVE-2026-6267 — Workhorse 민감 정보 노출 (GitLab CE/EE)
특정 조건에서 내부 요청 처리에 대한 불충분한 접근 제어로 인해, Developer 역할 권한을 가진 인증된 사용자가 권한이 없는 정보에 접근할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-6267
- 영향 버전 (GitLab CE/EE): 10.1.0 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 8.5 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H)
CVE-2026-12436 — 파이프라인 스케줄 API 대량 할당 (GitLab CE/EE)
특정 조건에서 파이프라인 스케줄 입력값 처리 시 사용자 제공 속성에 대한 부적절한 검증으로 인해, 인증된 사용자가 다른 사용자의 CI/CD 구성을 수정할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-12436
- 영향 버전 (GitLab CE/EE): 18.0 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 8.4 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L)
CVE-2026-15975 — 병합 요청 토론 서비스 거부(DoS) (GitLab CE/EE)
특정 조건에서 병합 요청 토론 처리 시 불충분한 리소스 제한(throttling)으로 인해, 인증되지 않은 사용자가 서비스 거부를 유발할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-15975
- 영향 버전 (GitLab CE/EE): 11.8 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)
CVE-2026-13113 — 병합 요청 승인 규칙 경쟁 상태 (GitLab EE)
특정 조건에서 승인 규칙 처리의 경쟁 상태로 인해, 인증된 사용자가 필요한 승인 없이 보호된 브랜치에 코드를 병합할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-13113
- 영향 버전 (GitLab EE): 17.0 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 6.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N)
CVE-2026-16553 — 가상 레지스트리 자격 증명 보호 미흡 (GitLab EE)
특정 조건에서 가상 레지스트리의 업스트림 요청 처리 미흡으로 인해, 일부 민감 정보가 의도하지 않은 호스트로 노출될 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-16553
- 영향 버전 (GitLab EE): 18.8 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 5.4 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:L)
- 제보: GitLab 팀원 Fiona McCawley 님이 내부에서 발견
CVE-2026-6336 — 프로젝트 가져오기 상태 접근 제어 (GitLab CE/EE)
특정 조건에서 인가 검사 누락으로 인해, 권한이 없는 사용자가 프로젝트 가져오기 소스 정보를 조회할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-6336
- 영향 버전 (GitLab CE/EE): 16.6 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 5.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)
CVE-2026-14341 — 프로젝트 가져오기 부적절한 인가 (GitLab CE/EE)
특정 조건에서 프로젝트 API 엔드포인트의 부적절한 인가로 인해, Maintainer 역할 권한을 가진 인증된 사용자가 보호된 브랜치 구성을 수정할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-14341
- 영향 버전 (GitLab CE/EE): 12.8 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 4.9 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N)
CVE-2026-3093 — 페이지네이션 뷰 XSS (GitLab CE/EE)
특정 조건에서 사용자 제어 입력값에 대한 부적절한 정제(sanitization)로 인해, 공격자가 조작된 URL을 통해 다른 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-3093
- 영향 버전 (GitLab CE/EE): 14.0 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 4.7 (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N)
CVE-2026-15077 — Duo 코드 리뷰 프롬프트 인젝션 (GitLab EE)
특정 조건에서 AI 지원 코드 리뷰 기능이 처리하는 신뢰할 수 없는 콘텐츠에 대한 부적절한 무력화(neutralization)로 인해, 인증된 사용자가 권한이 없는 프로젝트의 정보에 접근할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-15077
- 영향 버전 (GitLab EE): 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
CVE-2026-15831 — Duo Workflows 보안 토큰 생성 오류 (GitLab EE)
특정 조건에서 토큰 생성 시 부적절한 인가 적용으로 인해, 인증된 사용자가 관리자가 설정한 도구 거버넌스 정책을 우회할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-15831
- 영향 버전 (GitLab EE): 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
- 제보: GitLab 팀원 Dennis Appelt 님이 내부에서 발견
CVE-2026-14351 — 병합 요청 제목 생성 민감 정보 노출 (GitLab CE/EE)
특정 조건에서 부적절한 인가 검사로 인해, 인증되지 않은 사용자가 공개적으로 접근 가능한 병합 요청을 통해 비공개(confidential) 이슈의 제목을 조회할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-14351
- 영향 버전 (GitLab CE/EE): 8.8 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
CVE-2026-4672 — 파이프라인 테스트 리포트 API 접근 제어 (GitLab CE/EE)
특정 조건에서 부적절한 접근 제어 적용으로 인해, Guest 역할 권한을 가진 인증된 사용자가 조회 권한이 없는 테스트 리포트 내용에 접근할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-4672
- 영향 버전 (GitLab CE/EE): 18.4 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
CVE-2025-14562 — 병합 요청 협업 설정 잘못된 인가 (GitLab CE/EE)
특정 조건에서 병합 요청 협업 설정에 대한 부적절한 인가 검사로 인해, Developer 역할 권한을 가진 인증된 사용자가 멤버에서 제거된 이후에도 프로젝트에 변경 사항을 커밋할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2025-14562
- 영향 버전 (GitLab CE/EE): 10.6 이상 19.0.5 미만, 19.1 이상 19.1.3 미만, 19.2 이상 19.2.1 미만
- CVSS: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
버그 수정
19.2.1
- 최종 19.2 릴리즈 노트 백포트
- [19.2] tar 추출에서
--unlink-first및--recursive-unlink제거 백포트 - [19.2] 병합 요청 재승인/재승인취소 관련 병합 되돌리기(Revert) 백포트
- 그룹 설정 업데이트 시 관리자 Duo 잠금 강제 적용 19.2 백포트
- Self-Managed/Dedicated 업그레이드 시 keys.organization_id NOT NULL 제약 조건 실패 수정 19.2 백포트
- 보안 MR의 배포 후 마이그레이션 차단 기능 19.2 백포트
- [19.2] Helm 메타데이터 캐시 백필 시 고아 캐시 삭제
- 19.2 업그레이드 후 AI 인프라 설정 복원 19-2-stable-ee 백포트
- 무관한 스펙을 깨뜨리는 HTTP_V2 설정 누수 수정 백포트
- 플로우 검증 및 메타데이터에서 무시되던 자체 호스팅 DWS TLS 설정 수정 백포트
- Self-Managed 관리자/소유자가 네임스페이스를 Orbit에 등록하지 못하던 문제 수정 백포트
- Orbit 및 Knowledge Graph 기능 플래그 기본 활성화 백포트
- root_ancestor_ids가 128개를 초과할 때 고급 검색 라우팅에서 발생하던 조용한 데이터 손실 수정 백포트
19.1.3
- gitlab-logger를 v4.0.1로 업데이트 (19-1-stable)
- GitLab Dedicated 인스턴스에서 AIGW 타임아웃 설정 허용 백포트
- 커밋 목록의 커밋 SHA 복사 버튼 수정 백포트
- 비활성화 시에도 가상 레지스트리 설정 토글이 계속 표시되도록 수정 19.1 백포트
- cb7f0fd33375 되돌리기 병합
- blob 미리보기 diff에서 빈 추가 라인이 숨겨지던 문제 수정 백포트
- 완전히 인스턴스화되지 않은 체크포인트 확인 시 nil 오류 수정 (19-1 백포트)
- 커밋 목록 날짜 그룹화가 committedDate를 사용하도록 수정 백포트
- duo_secret_detection_fp_enabled를 false로 백필 백포트
- 릴리즈 노트 카테고리 검증을 건너뛰는 레이블 추가 백포트
- 레거시 파일 유형의 인라인 blame에서 소스 코드가 누락되던 문제 수정 백포트
- CI/CD 애널리틱스 관련 안내 문구 추가 백포트
- 플레이스홀더 사용자 생성 시 claim 충돌 처리 백포트
- E2E 테스트 시 UI를 통한 최초 온보딩 수행 19.1 백포트
- Self-Managed/Dedicated 업그레이드 시 keys.organization_id NOT NULL 제약 조건 실패 수정 19.1 백포트
- 플로우 검증 및 메타데이터에서 무시되던 자체 호스팅 DWS TLS 설정 수정 백포트
- [19.1] net-imap을 v0.6.4.1로 업데이트 백포트
- web_hook_logs_daily 샤딩 키 제약 조건 검증 중단 (19.1 백포트)
- 감지된 언어 이름 변경 시 무한 재시도 수정 19.1 백포트
- Elastic 테스트 teardown 시 고아 인덱스 정리 (19.1 백포트)
- [19.1] tar 추출에서
--unlink-first및--recursive-unlink제거 백포트 - 인스턴스 외 설정에 의해 잠기던 승인 규칙 편집 문제 수정 백포트
- 보안 MR의 배포 후 마이그레이션 차단 기능 19.1 백포트
- [19.1] LFK 정리 LATERAL 조인 기본 활성화
- [19.1] Helm 메타데이터 캐시 백필 시 고아 캐시 삭제
- Self-Managed 관리자/소유자가 네임스페이스를 Orbit에 등록하지 못하던 문제 수정 백포트
- EL10 SELinux fcontext 동등성 처리 19-1-stable 병합
- 19.1.0+rc42.ee.0 QA 테스트 타깃 설정
- [19.1 백포트] PostgreSQL을 17.10으로 상향
- OpenSSL 3.x 업데이트 19-1-stable 병합
- 매니페스트 업로드 재시도 추가 19.1 백포트
- gitlab-omnibus-builder를 5.60.2로 상향
- [19.1] Ruby에 기본 포함된 net-imap gem 제거 백포트
- [19.1] CI에서 GIT_CONFIG_GLOBAL 파일을 통해 gitlab.com 클론 인증
19.0.5
- gitlab-logger를 v4.0.1로 업데이트 (19-0-stable)
- GitLab Dedicated 인스턴스에서 AIGW 타임아웃 설정 허용 백포트
- 비활성화 시에도 가상 레지스트리 설정 토글이 계속 표시되도록 수정 19.0 백포트
- 실시간 노트 업데이트가 반응형으로 반영되지 않던 문제 수정
- blob 미리보기 diff에서 빈 추가 라인이 숨겨지던 문제 수정 백포트
- duo_secret_detection_fp_enabled를 false로 백필 백포트
- 완전히 인스턴스화되지 않은 체크포인트 확인 시 nil 오류 수정 (19-0 백포트)
- Self-Managed/Dedicated 업그레이드 시 keys.organization_id NOT NULL 제약 조건 실패 수정 19.0 백포트
- [19.0] net-imap을 v0.6.4.1로 업데이트 백포트
- [19.0] tar 추출에서
--unlink-first및--recursive-unlink제거 백포트 - web_hook_logs_daily 샤딩 키 제약 조건 검증 중단 (19.0 백포트)
- Elastic 테스트 teardown 시 고아 인덱스 정리 (19.0 백포트)
- 인스턴스 외 설정에 의해 잠기던 승인 규칙 편집 문제 수정 백포트
- 보안 MR의 배포 후 마이그레이션 차단 기능 19.0 백포트
- Duo Workflow git 강화에서
GIT_CONFIG_GLOBAL=/dev/null제거 백포트 - [19.0] LFK 정리 쿼리를 LATERAL 조인으로 재작성
- [19.0] Helm 메타데이터 캐시 백필 시 고아 캐시 삭제
- 감지된 언어 이름 변경 시 무한 재시도 수정 19.0 백포트
- Self-Managed 관리자/소유자가 네임스페이스를 Orbit에 등록하지 못하던 문제 수정 백포트
- EL10 SELinux fcontext 동등성 처리 19-0-stable 병합
- 19.0.0+rc42.ee.0 QA 테스트 타깃 설정
- [19.0 백포트] PostgreSQL을 17.10으로 상향
- 매니페스트 업로드 재시도 추가 19.0 백포트
- gitlab-omnibus-builder를 5.57.2로 상향
- [19.0] Ruby에 기본 포함된 net-imap gem 제거 백포트
- [19.0] CI에서 GIT_CONFIG_GLOBAL 파일을 통해 gitlab.com 클론 인증
업그레이드 시 주의사항
이 패치에는 업그레이드 과정에 영향을 줄 수 있는 데이터베이스 마이그레이션이 포함되어 있습니다.
설치 환경별 영향:
- 단일 노드 인스턴스: GitLab이 시작되기 전에 마이그레이션이 완료되어야 하므로, 이 패치는 업그레이드 중 다운타임을 유발할 수 있습니다.
- 다중 노드 인스턴스: 적절한 무중단(zero-downtime) 업그레이드 절차를 따르면 다운타임 없이 적용할 수 있습니다.
업그레이드 안내
GitLab을 업데이트하려면 업데이트 페이지를 참조하세요. GitLab Runner를 업데이트하려면 Runner 업데이트 페이지를 참조하세요.
더 많은 GitLab에 대한 정보와 데모가 궁금하신가요? 혹은 GitLab 업그레이드가 필요하신가요? 그렇다면 인포그랩에 연락하세요! DevOps 전문가가 도와드립니다.
Eva
Project Manager
UI/UX 서비스 기획자로 커머스·시스템 구축·운영 등 다양한 프로젝트를 경험했습니다. 사용자 관점에서 요구사항을 빠르게 정리해 정책·IA·UX 흐름처럼 실행 가능한 구조로 설계하는 데 강점이 있습니다. 기획과 커뮤니케이션, 디자인, 개발 편식없이 일하는 잡식성 업무스타일을 가지고 있습니다.
이 저자의 글 모두 보기 →관련 글
GitLab 보안 패치 릴리즈 19.1.2, 19.0.4, 18.11.7
GitLab 19.1.2, 19.0.4, 18.11.7 버전이 출시되었으며, 8건의 보안 수정 사항과 버그 수정이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 권장합니다. 주요 보안 취약점으로는 취약점 증거 테이블 렌더러의 크로스 사이트 스크립팅(XSS), 위키 마크업 렌더링의 HTML 인젝션, 리포지토리 미러링의 자격 증명 노출 등이 있습니다.
GitLab 보안 패치 릴리즈 19.1.1, 19.0.3, 18.11.6
GitLab 19.1.1, 19.0.3 및 18.11.6 보안 패치 릴리즈는 13건의 보안 취약점을 수정하고, 각 버전별 CVE와 심각도 정보를 제공하며, 업그레이드 시 데이터베이스 마이그레이션 및 다운타임 고려사항을 안내하고, 최신 버전으로 빠른 적용을 권장합니다.
GitLab 보안 패치 릴리즈 18.10.3, 18.9.5, 18.8.9
GitLab Community Edition과 Enterprise Edition의 18.10.3, 18.9.5, 18.8.9 버전이 출시되었으며, 중요한 버그 및 보안 수정 사항이 포함되어 있습니다. 모든 사용자는 즉시 최신 버전으로 업그레이드할 것을 권장하며, GitLab.com은 이미 패치된 버전을 실행 중입니다. 보안 수정 사항에는 여러 취약점이 포함되어 있으며, 각 취약점에 대한 자세한 내용은 30일 후에 공개됩니다. 업그레이드 시 다중 노드 배포가 가능하며, 새로운 마이그레이션은 포함되어 있지 않습니다.