GitLab 보안 패치 릴리즈 19.3.1, 19.2.5, 19.1.7

오늘 GitLab Community Edition(CE)과 Enterprise Edition(EE)에 대해 19.3.1, 19.2.5, 19.1.7 버전이 출시되었습니다. 이 버전들은 7건의 보안 수정 사항을 포함하고 있으므로, 모든 셀프 관리형 GitLab 인스턴스는 즉시 이 중 하나의 버전으로 업그레이드하시길 강력히 권장합니다. GitLab.com은 이미 보안 패치가 적용된 버전을 사용 중이며, GitLab Dedicated 고객은 별도의 조치가 필요하지 않습니다. GitLab은 패치 릴리즈를 통해 취약점에 대한 수정사항을 제공합니다. 패치 릴리즈는 정기 릴리즈와 심각도가 높은 취약점에 대한 긴급 릴리즈, 이렇게 두 가지 유형이 있습니다. 정기 릴리즈는 매월 둘째, 넷째 수요일에 배포됩니다. 자세한 내용은 릴리즈 핸드북과 보안 FAQ에서 확인하실 수 있습니다. 모든 GitLab 릴리즈 블로그 게시글은 여기에서 볼 수 있습니다.

보안 수정 사항의 경우, 각 취약점에 대한 상세 이슈는 패치가 적용된 릴리즈 이후 90일이 지나면 이슈 트래커를 통해 공개됩니다. GitLab은 고객에게 노출되거나 고객 데이터를 저장하는 모든 측면이 최고 수준의 보안 기준을 충족하도록 최선을 다하고 있습니다. 보안 수준을 유지하기 위해, 모든 고객이 지원되는 최신 패치 릴리즈로 업그레이드하는 것을 강력히 권장합니다.

권장 조치

---

아래 설명된 문제의 영향을 받는 버전을 실행 중인 모든 설치를 가능한 한 빨리 최신 버전으로 업그레이드할 것을 강력히 권장합니다. 제품의 특정 배포 유형(omnibus, 소스 코드, helm 차트 등)이 명시되지 않은 경우, 모든 유형이 영향을 받는다는 것을 의미합니다.

보안 취약점

---

이번 릴리즈에서 수정된 보안 취약점 목록입니다. (총 7건)

CVE-2026-18252 — Duo Claude AI 에이전트 신뢰할 수 없는 제어 영역 기능 포함 (GitLab EE)

특정 조건에서 Claude 에이전트가 사용자 제어 소스의 구성을 처리로 인해, Developer 역할 권한을 가진 인증된 사용자가 CI 컨텍스트에서 임의의 명령을 실행할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-18252
• 영향 버전 (GitLab EE): 18.9 이상 19.1.7 미만, 19.2 이상 19.2.5 미만, 19.3 이상 19.3.1 미만
• CVSS: 7.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 thwin_htet 님이 제보

CVE-2026-77801 — 가져오기 파이프라인 서비스 거부(DoS) (GitLab CE/EE)

특정 조건에서 객체 수 제한 누락으로 인해, 인증된 사용자가 백그라운드 작업 처리에 영향을 주는 서비스 거부를 유발할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-77801
• 영향 버전 (GitLab CE/EE): 12.8 이상 19.1.7 미만, 19.2 이상 19.2.5 미만, 19.3 이상 19.3.1 미만
• CVSS: 6.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)
• 제보: Tran Ba Quang 님이 제보

CVE-2025-10903 — SCIM API 서비스 거부(DoS) (GitLab EE)

특정 조건에서 SCIM 사용자 프로비저닝 기능에서 특수하게 조작된 입력이 무한 루프를 유발하여, 인증된 사용자가 서비스 거부를 일으킬 수 있었던 문제를 수정했습니다.

• CVE: CVE-2025-10903
• 영향 버전 (GitLab EE): 11.10 이상 19.1.7 미만, 19.2 이상 19.2.5 미만, 19.3 이상 19.3.1 미만
• CVSS: 6.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)
• 제보: HackerOne 버그 바운티 프로그램을 통해 rafabd1 님이 제보

CVE-2026-3035 — 보호된 환경 부적절한 접근 제어 (GitLab EE)

특정 조건에서 부적절한 인가 검사로 인해, 프로젝트 Maintainer 권한을 가진 인증된 사용자가 사용 권한이 없는 보호된 환경의 터미널에 접근할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-3035
• 영향 버전 (GitLab EE): 11.3 이상 19.1.7 미만, 19.2 이상 19.2.5 미만, 19.3 이상 19.3.1 미만
• CVSS: 5.5 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 go7f0 님이 제보

CVE-2026-4398 — 컴플라이언스 프레임워크 할당 인가 우회 (GitLab EE)

특정 조건에서 셀프 관리형 인스턴스의 네임스페이스 검증 누락으로 인해, 인증된 사용자가 접근 권한이 없는 네임스페이스의 컴플라이언스 프레임워크를 자신의 프로젝트에 할당할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-4398
• 영향 버전 (GitLab EE): 18.3 이상 19.1.7 미만, 19.2 이상 19.2.5 미만, 19.3 이상 19.3.1 미만
• CVSS: 5.4 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 bountyyfi 님이 제보

CVE-2026-15387 — 파이프라인 실행 정책 신뢰할 수 없는 데이터 처리 (GitLab EE)

특정 조건에서 작업 의존성(job dependencies)의 부적절한 처리로 인해, Developer 역할 권한을 가진 인증된 사용자가 파이프라인 실행 정책 강제 작업의 실행 환경에 영향을 줄 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-15387
• 영향 버전 (GitLab EE): 19.1 이상 19.1.7 미만, 19.2 이상 19.2.5 미만, 19.3 이상 19.3.1 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 3nvz 님이 제보

CVE-2026-7487 — 병합 요청 승인 규칙 초기화 부적절한 인가 (GitLab EE)

특정 조건에서 부적절한 인가 검사로 인해, 병합 요청을 작성한 Reporter 역할 권한의 인증된 사용자가 병합 요청 승인 규칙을 초기화할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-7487
• 영향 버전 (GitLab EE): 13.1 이상 19.1.7 미만, 19.2 이상 19.2.5 미만, 19.3 이상 19.3.1 미만
• CVSS: 3.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 rogerace 님이 제보

버그 수정

---

19.3.1

• ‘사용자 권한 상승 없이 상속된 기반 플로우 프로비저닝’ 19-3-stable-ee 백포트
• 19.3 릴리즈 노트 19-3-stable-ee 백포트
• MCP OAuth 보호 리소스 메타데이터의 resource 필드가 배열 대신 문자열을 반환하도록 수정 백포트
• 추적된 ref 필터를 고급 취약점 관리 기능으로 게이팅 백포트
• FK가 먼저 정렬되도록 deployments bigint 정리 순서 재조정 백포트
• 19.3 릴리즈 노트 수정 백포트 - 재설계된 에이전틱 채팅 UI 릴리즈 게시글

19.2.5

• 테스트를 날짜 독립적으로 만들어 깨진 master 수정 백포트
• glab을 서드파티 미러 대신 공식 GitLab 릴리즈에서 설치하도록 변경 백포트
• 애플리케이션 설정에 import_jobs_concurrency_limit 추가 백포트
• 오류가 발생한 SARIF 보안 리포트 파싱 시 무한 루프 수정 백포트 (19.2)
• 단독 불릿 라인 뒤의 이메일 답장 내용 보존 백포트
• 릴리즈 게시글 백포트: dedicated-hosted-ai-gateway 릴리즈 노트 19-2-stable-ee 추가
• 백포트: dedicated_self_hosted_models.md를 19.2에 추가
• MCP OAuth 보호 리소스 메타데이터의 resource 필드가 배열 대신 문자열을 반환하도록 수정 백포트
• 순서 의존적인 에픽 가져오기 누락 수정 백포트
• drop_ai_* 테이블 마이그레이션 수정 백포트
• ‘Duo 가용성 파라미터를 변경 시에만 전송’ 백포트 (19.2)
• [19.2] Mattermost 지원 중단(deprecation) 관련 수정 백포트
• gitlab-omnibus-builder를 5.63.1로 상향

19.1.7

• glab을 서드파티 미러 대신 공식 GitLab 릴리즈에서 설치하도록 변경 백포트
• 애플리케이션 설정에 import_jobs_concurrency_limit 추가 백포트
• 오류가 발생한 SARIF 보안 리포트 파싱 시 무한 루프 수정 백포트 (19.1)
• 단독 불릿 라인 뒤의 이메일 답장 내용 보존 백포트
• any_merge_request 규칙 동기화에서 무제한 프리로드 방지 백포트
• ‘Duo 가용성 파라미터를 변경 시에만 전송’ 백포트 (19.1)
• [19.1] Mattermost 지원 중단(deprecation) 관련 수정 백포트

업그레이드 시 주의사항

---

이 패치에는 업그레이드 과정에 영향을 줄 수 있는 데이터베이스 마이그레이션이 포함되어 있습니다.

설치 환경별 영향:

• 단일 노드 인스턴스: GitLab이 시작되기 전에 마이그레이션이 완료되어야 하므로, 이 패치는 업그레이드 중 다운타임을 유발할 수 있습니다.
• 다중 노드 인스턴스: 적절한 무중단(zero-downtime) 업그레이드 절차를 따르면 다운타임 없이 적용할 수 있습니다.

업그레이드 안내

---

GitLab을 업데이트하려면 업데이트 페이지를 참조하세요. GitLab Runner를 업데이트하려면 Runner 업데이트 페이지를 참조하세요.

원문 바로가기

더 많은 GitLab에 대한 정보와 데모가 궁금하신가요? 혹은 GitLab 업그레이드가 필요하신가요? 그렇다면 인포그랩에 연락하세요! DevOps 전문가가 도와드립니다.