GitLab 크리티컬 보안 패치 릴리즈 19.4.1, 19.3.3, 19.2.7

오늘 GitLab Community Edition(CE)과 Enterprise Edition(EE)에 대해 19.4.1, 19.3.3, 19.2.7 긴급(크리티컬) 보안 패치 버전이 출시되었습니다. 이 버전들은 크리티컬 2건과 높음 2건을 포함한 총 11건의 보안 수정 사항을 포함하고 있으므로, 모든 셀프 관리형 GitLab 인스턴스는 즉시 이 중 하나의 버전으로 업그레이드하시길 강력히 권장합니다. GitLab.com은 이미 보안 패치가 적용된 버전을 사용 중이며, GitLab Dedicated 고객은 별도의 조치가 필요하지 않습니다. GitLab은 패치 릴리즈로 취약점 수정 사항을 제공합니다. 패치 릴리즈는 정기 릴리즈와 심각도가 높은 취약점에 대한 긴급 릴리즈, 이렇게 두 가지 유형이 있으며, 이번 릴리즈는 긴급 릴리즈에 해당합니다. 정기 릴리즈는 매월 둘째, 넷째 수요일에 배포됩니다. 자세한 내용은 릴리즈 핸드북과 보안 FAQ에서 확인하실 수 있습니다. 모든 GitLab 릴리즈 블로그 게시글은 여기에서 볼 수 있습니다.

보안 수정 사항의 경우, 각 취약점에 대한 상세 이슈는 패치가 적용된 릴리즈 이후 90일이 지나면 이슈 트래커를 통해 공개됩니다. GitLab은 고객에게 노출되거나 고객 데이터를 저장하는 모든 측면이 최고 수준의 보안 기준을 충족하도록 최선을 다하고 있습니다. 보안 수준을 유지하기 위해, 모든 고객이 지원되는 최신 패치 릴리즈로 업그레이드하는 것을 강력히 권장합니다.

권장 조치

---

아래 설명된 문제의 영향을 받는 버전을 실행 중인 모든 설치를 가능한 한 빨리 최신 버전으로 업그레이드할 것을 강력히 권장합니다. 제품의 특정 배포 유형(omnibus, 소스 코드, helm 차트 등)이 명시되지 않은 경우, 모든 유형이 영향을 받는다는 것을 의미합니다.

보안 취약점

---

이번 릴리즈에서 수정된 보안 취약점 목록입니다. (총 11건: 크리티컬 2건, 높음 2건, 중간 5건, 낮음 2건)

CVE-2026-89078: 정규식 파서 이중 해제 (GitLab CE/EE)

특정 조건에서 CI/CD 구성에 포함된 특수하게 조작된 정규식을 파싱할 때 발생하는 이중 해제(double free) 문제로 인해, 인증된 사용자가 GitLab 서버에서 임의 코드를 실행할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-89078
• 영향 버전 (GitLab CE/EE): 19.2 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L)
• 제보: HackerOne 버그 바운티 프로그램에서 joaxcar 님이 제보

CVE-2026-93577: 정규식 컴파일러 정수 오버플로 (GitLab CE/EE)

특정 조건에서 CI/CD 구성에 포함된 특수하게 조작된 정규식을 컴파일할 때 발생하는 정수 오버플로 문제로 인해, 인증된 사용자가 GitLab 서버에서 임의 코드를 실행할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-93577
• 영향 버전 (GitLab CE/EE): 19.2 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
• 제보: HackerOne 버그 바운티 프로그램에서 joaxcar 님이 제보

CVE-2026-84739: 머지 요청 diff 뷰어 크로스 사이트 스크립팅 (GitLab CE/EE)

특정 조건에서 머지 요청 diff 뷰어의 경로 구성 요소에 대한 부적절한 정제(sanitization)로 인해, 인증된 사용자가 다른 사용자의 브라우저 세션 컨텍스트에서 임의의 JavaScript를 실행할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-84739
• 영향 버전 (GitLab CE/EE): 13.11 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 8.7 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N)
• 제보: HackerOne 버그 바운티 프로그램에서 joaxcar 님이 제보

CVE-2026-92470: Duo AI 잡 트러블슈팅 기능 인가 누락 (GitLab EE)

특정 조건에서 인가 검사 누락으로 인해, 인증된 사용자가 Duo AI 트러블슈팅 기능으로 디버그 모드 잡 트레이스의 민감한 CI/CD 변수 값에 접근할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-92470
• 영향 버전 (GitLab EE): 18.7 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 7.7 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N)
• 제보: GitLab 팀 구성원 Daniel Prause가 내부적으로 발견

CVE-2026-92874: MCP API 스코프 강제 잘못된 인가 (GitLab CE/EE)

특정 조건에서 부적절한 인가 검사로 인해, MCP 스코프 토큰을 가진 인증된 사용자가 해당 토큰의 의도된 범위를 넘어서는 작업을 수행할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-92874
• 영향 버전 (GitLab CE/EE): 18.3 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 5.4 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N)
• 제보: GitLab 팀 구성원 Amr Taha가 내부적으로 발견

CVE-2026-92530: Direct Transfer 가져오기 사용자 매핑의 신뢰도 낮은 소스 사용 (GitLab CE/EE)

특정 조건에서 Direct Transfer 가져오기 중 임시 캐시 상태에 부적절하게 의존하는 문제로 인해, 인증된 사용자가 머지 요청 작성자를 위조하고 대상 인스턴스의 임의 기존 사용자에게 콘텐츠를 귀속시킬 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-92530
• 영향 버전 (GitLab CE/EE): 19.1 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
• 제보: HackerOne 버그 바운티 프로그램에서 ahacker1 님이 제보

CVE-2026-8937: Epic Issues REST API 인가 누락 (GitLab CE/EE)

특정 조건에서 볼 수 있는 에픽에 연결된 작업 항목에 대한 인가 검사 누락으로 인해, 인증된 사용자가 접근 권한이 없는 프로젝트의 비공개 하위 이슈 내용(제목·설명 포함)을 읽을 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-8937
• 영향 버전 (GitLab CE/EE): 19.0 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
• 제보: HackerOne 버그 바운티 프로그램에서 rogerace 님이 제보

CVE-2026-92529: Duo Workflow Service 토큰 거버넌스 강제 잘못된 인가 (GitLab EE)

특정 조건에서 부적절한 인가 검사로 인해, Developer 역할 권한을 가진 인증된 사용자가 자신이 제어하지 않는 네임스페이스의 워크플로에 대해 관리자가 구성한 AI 도구 거버넌스 제어를 우회할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-92529
• 영향 버전 (GitLab EE): 19.1 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
• 제보: GitLab 팀 구성원 Rahul Barnwal이 내부적으로 발견

CVE-2026-10518: GraphQL memberRoles dependentSecurityPolicies 리졸버 부적절한 접근 제어 (GitLab EE)

특정 조건에서 부적절한 인가 적용으로 인해, Guest 수준 권한을 가진 인증된 사용자가 접근 권한이 없는 비공개 보안 정책 내용을 읽을 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-10518
• 영향 버전 (GitLab EE): 17.9 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
• 제보: HackerOne 버그 바운티 프로그램에서 rogerace 님이 제보

CVE-2026-4523: GraphQL CI 잡 트레이스 API 인가 누락 (GitLab CE/EE)

특정 조건에서 GraphQL API의 부적절한 인가 적용으로 인해, 인증되지 않은 사용자가 민감한 변수 값이 담긴 CI/CD 잡 트레이스 내용을 읽을 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-4523
• 영향 버전 (GitLab CE/EE): 15.11 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 3.7 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N)
• 제보: HackerOne 버그 바운티 프로그램에서 scyoon 님이 제보

CVE-2026-92628: MCP gitlab_search 도구 경쟁 조건 (GitLab CE/EE)

경쟁 조건(race condition) 상황에서 MCP 검색 도구의 공유 상태 처리로 인해, 검색 결과가 잘못된 사용자 컨텍스트로 반환될 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-92628
• 영향 버전 (GitLab CE/EE): 18.6 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만
• CVSS: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N)
• 제보: GitLab 팀 구성원 Chris Bonk가 내부적으로 발견

버그 수정

---

19.4.1

• 19.4 릴리즈 노트 백포트
• 패키지 메타데이터 레이블 경로에서 델타 중간부터 재개 19-4-stable-ee 백포트
• 19.4 릴리즈 노트 추가 백포트: 리치 텍스트 에디터의 표 붙여넣기 개선
• 19.4 릴리즈 노트 추가 백포트: 조직 보안 대시보드
• GHES 가져오기에 레이트 리밋 처리 추가 19.4 백포트
• 일시적인 HttpIO 청크 실패 재시도 백포트 (19.4)
• 19.4: gitlab-omnibus-builder 버전을 5.68.0으로 상향

19.3.3

• “머지 요청 API에 커밋 SHA 필수” 패치에 따른 문서 조정 백포트
• 빈 CI 파티션에서 백필 마이그레이션 중복 수정 19-3-stable-ee 백포트
• 오류가 발생한 SARIF 보안 리포트 파싱 시 무한 루프 수정 백포트 (19.3)
• 고아 아티팩트 조회를 배치당 한 번의 쿼리로 해결 백포트
• getPipelineDetails 쿼리의 긴급도를 낮음으로 지정 19.3 백포트
• Developer 기본 트리거에서 merge_request 제거 19.3 백포트
• 시크릿 스펙의 시스템 실패 단언 제거 19-3-stable-ee 백포트
• 의존성 프록시 요청이 웹 레이트 리밋에 집계되지 않도록 수정 백포트
• GitLab Elasticsearch Indexer 5.14.14로 업데이트 19.3 백포트
• 회수된 프로젝트 경로에 대한 JWT 차단 애플리케이션 설정 추가 백포트
• 패키지 메타데이터 레이블 경로에서 델타 중간부터 재개 19-3-stable-ee 백포트
• 일시적인 HttpIO 청크 실패 재시도 백포트 (19.3)
• PostgreSQL 17.11로 상향 (19-3-stable)
• Consul 1.22.7로 상향 (19-3-stable)
• ‘sdg-fips-staging-upload-internal-release’ 브랜치를 19.3에 병합
• !9672 19-3-stable 백포트: selinux에 RHEL 10 / OpenSSH 9.8+용 sshd_session_t·sshd_auth_t 규칙 추가
• !9744 19-3-stable 백포트: SELinux 환경에서 sshd 빠른 SSH 키 조회 허용
• Patroni 스트리밍 상태를 실행 중인 노드로 취급 (19-3-stable 백포트)

19.2.7

• 19.2 업그레이드
• Duo 설정 변경 시 mcp_server_enabled 재설정 중단 19-2-stable-ee 백포트
• Slack 알림 문서 페이지 복원 (19.2 백포트)
• Gitlab::HTTP에서 확인된 IP 간 폴백 (Dependency Proxy 599) 백포트
• 빈 CI 파티션에서 백필 마이그레이션 중복 수정 19-2-stable-ee 백포트
• 고아 아티팩트 조회를 배치당 한 번의 쿼리로 해결 백포트
• GitLab Elasticsearch Indexer 5.14.14로 업데이트 19.2 백포트
• getPipelineDetails 쿼리의 긴급도를 낮음으로 지정 19.2 백포트
• 시크릿 스펙의 시스템 실패 단언 제거 19-2-stable-ee 백포트
• 의존성 프록시 요청이 웹 레이트 리밋에 집계되지 않도록 수정 백포트
• 회수된 프로젝트 경로에 대한 JWT 차단 애플리케이션 설정 추가 백포트
• 패키지 메타데이터 레이블 경로에서 델타 중간부터 재개 19-2-stable-ee 백포트
• PostgreSQL 17.11로 상향 (19-2-stable)
• Consul 1.22.7로 상향 (19-2-stable)
• ‘sdg-fips-staging-upload-internal-release’ 브랜치를 19.2에 병합
• !9672 19-2-stable 백포트: selinux에 RHEL 10 / OpenSSH 9.8+용 sshd_session_t·sshd_auth_t 규칙 추가
• !9744 19-2-stable 백포트: SELinux 환경에서 sshd 빠른 SSH 키 조회 허용
• Patroni 스트리밍 상태를 실행 중인 노드로 취급 (19-2-stable 백포트)

업그레이드 시 주의사항

---

이 패치에는 업그레이드 과정에 영향을 줄 수 있는 데이터베이스 마이그레이션이 포함되어 있습니다.

설치 환경별 영향:

• 단일 노드 인스턴스: GitLab이 시작되기 전에 마이그레이션이 완료되어야 하므로, 이 패치는 업그레이드 중 다운타임을 유발할 수 있습니다.
• 다중 노드 인스턴스: 적절한 무중단(zero-downtime) 업그레이드 절차를 따르면 다운타임 없이 적용할 수 있습니다.

배포 후 마이그레이션(Post-deploy migrations): 19.3.3과 19.2.7에 포함되어 있으며, 업그레이드 이후에 실행할 수 있습니다. 다중 노드 배포는 무중단 업그레이드, 단일 노드 설치는 표준 업그레이드 절차를 따릅니다.

업그레이드 안내

---

GitLab을 업데이트하려면 업데이트 페이지를 참조하세요. GitLab Runner를 업데이트하려면 Runner 업데이트 페이지를 참조하세요.

원문 바로가기

더 많은 GitLab에 대한 정보와 데모가 궁금하신가요? 혹은 GitLab 업그레이드가 필요하신가요? 그렇다면 인포그랩에 연락하세요! DevOps 전문가가 도와드립니다.