GitLab 크리티컬 보안 패치 릴리즈 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
2026년 10월 21일 GitLab Community Edition(CE)과 Enterprise Edition(EE)의 긴급(크리티컬) 보안 패치 버전 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13이 출시되었습니다. 이번 릴리즈에서는 크리티컬 1건과 높음 2건을 포함해 총 12건의 보안 취약점을 수정했습니다. 이 중 정규식 컴파일러의 정수 오버플로 취약점(CVE-2026-110264) 수정 사항은 18.11.13, 19.0.10, 19.1.9, 19.2.9 버전에도 백포트되었습니다. 모든 셀프 관리형 GitLab 인스턴스는 현재 사용 중인 버전에 맞는 패치 버전으로 즉시 업그레이드할 것을 강력히 권장합니다.
GitLab.com에는 이미 보안 패치가 적용되어 있습니다. 19.3.5-internal0 및 19.4.2-internal0 이상을 실행 중인 GitLab Dedicated 고객도 수정 사항이 이미 적용되어 있으므로 별도의 조치가 필요하지 않습니다.
GitLab은 패치 릴리즈를 통해 보안 취약점을 수정합니다. 패치 릴리즈는 정기 릴리즈와 심각도가 높은 취약점에 대응하는 긴급 릴리즈로 나뉘며, 이번 릴리즈는 긴급 릴리즈에 해당합니다. 정기 릴리즈는 매월 둘째, 넷째 수요일에 배포됩니다. 자세한 내용은 릴리즈 핸드북과 보안 FAQ에서 확인할 수 있습니다. GitLab의 모든 릴리즈 블로그 게시글은 여기에서 볼 수 있습니다.
각 보안 취약점의 상세 이슈는 해당 패치 릴리즈가 배포된 날로부터 90일 후 이슈 트래커에 공개됩니다. GitLab은 고객이 이용하는 기능과 고객 데이터를 저장하는 모든 영역이 최고 수준의 보안 기준을 충족하도록 노력하고 있습니다. 보안 수준을 유지하려면 현재 사용 중인 버전에서 지원되는 최신 패치 릴리즈로 업그레이드할 것을 강력히 권장합니다.
권장 조치
아래 취약점의 영향을 받는 버전을 사용 중이라면 가능한 한 빨리 최신 패치 버전으로 업그레이드할 것을 강력히 권장합니다. 특정 배포 유형(Omnibus, 소스 코드, Helm 차트 등)이 명시되지 않은 경우에는 모든 배포 유형이 영향을 받습니다.
보안 취약점
이번 릴리즈에서 수정된 보안 취약점은 총 12건으로, 심각도별로는 크리티컬 1건, 높음 2건, 중간 5건, 낮음 4건입니다.
| CVE | 제목 | 심각도 | CVSS |
|---|---|---|---|
| CVE-2026-110264 | 정규식 컴파일러(Regular Expression Compiler)의 정수 오버플로(Integer Overflow) 문제가 GitLab CE/EE에 영향 | 크리티컬 | 10.0 |
| CVE-2026-15723 | OmniAuth-LDAP 자동 연결 이메일 조회(OmniAuth-to-LDAP auto-linking email lookup)의 부적절한 인증(Improper Authentication) 문제가 GitLab CE/EE에 영향 | 높음 | 8.2 |
| CVE-2026-112212 | OAuth/OIDC 디스커버리 엔드포인트(Discovery Endpoints)의 캐시 오염(Cache Poisoning) 문제가 GitLab CE/EE에 영향 | 높음 | 7.5 |
| CVE-2026-12664 | GraphQL 작업 항목 이메일 주소 필드의 부적절한 접근 제어(Improper Access Control) 문제가 GitLab CE/EE에 영향 | 중간 | 6.8 |
| CVE-2026-16255 | 인스턴스 전체 SAML/LDAP 멤버십 잠금(Membership Lock)의 적용 미흡으로 허가되지 않은 멤버 추가가 가능한 문제가 GitLab EE에 영향 | 중간 | 5.9 |
| CVE-2026-105777 | 내부 응답 헤더(Internal Response Headers)의 내부 자격 증명 노출(Internal Credential Exposure) 문제가 GitLab CE/EE에 영향 | 중간 | 4.3 |
| CVE-2026-13319 | 그룹 마일스톤 API(Group Milestones API)의 사용자 제어 키를 통한 인가 우회(Authorization Bypass Through User-Controlled Key) 문제가 GitLab CE/EE에 영향 | 중간 | 4.3 |
| CVE-2026-112378 | AI Gateway 기능 활성화 헤더(Feature Enablement Header)의 신뢰도 낮은 출처 사용(Use of Less Trusted Source) 문제가 GitLab EE에 영향 | 중간 | 4.3 |
| CVE-2026-105711 | 머지 요청 제목 렌더링의 민감 정보 포함 캐시 사용(Use of Cache Containing Sensitive Information) 문제가 GitLab CE/EE에 영향 | 낮음 | 3.5 |
| CVE-2026-14288 | 머지 요청 승인 정책 적용(Approval Policy Enforcement)의 부적절한 접근 제어(Improper Access Control) 문제가 GitLab EE에 영향 | 낮음 | 3.1 |
| CVE-2026-112326 | 보안 결과(Security Findings)의 예외 발생 시 부적절한 정리(Improper Cleanup on Thrown Exception) 문제가 GitLab EE에 영향 | 낮음 | 3.1 |
| CVE-2026-103515 | Amazon Q 설정에 대한 그룹 Duo 관리자 잠금 적용(Admin-lock Enforcement)의 부적절한 접근 제어(Improper Access Control) 문제가 GitLab EE에 영향 | 낮음 | 2.7 |
CVE-2026-110264 — 정규식 컴파일러 정수 오버플로 (GitLab CE/EE)
특정 조건에서 특수하게 조작된 정규식을 컴파일할 때 정수 오버플로가 발생하여, 인증되지 않은 사용자가 GitLab 서버에서 임의 코드를 실행할 수 있었던 문제를 수정했습니다. 표준 패치 릴리즈와 별도로, 이 수정 사항을 GitLab CE/EE 18.11.13, 19.0.10, 19.1.9, 19.2.9 버전에도 백포트했습니다.
- CVE: CVE-2026-110264
- 영향 버전 (GitLab CE/EE): 7.0 이상 18.11.13 미만, 19.0 이상 19.0.10 미만, 19.1 이상 19.1.9 미만, 19.2 이상 19.2.9 미만, 19.3 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 joaxcar 님께 감사드립니다.
- 탐지 규칙: GitLab 보안팀은 셀프 관리형 인스턴스를 사용하는 고객을 지원하기 위해 이 취약점의 악용 시도를 탐지하는 규칙 2종을 공개했습니다. GitLab.com과 GitLab Dedicated를 포함한 GitLab 관리형 인프라에는 이미 패치가 적용되어 있습니다.
- Onigmo 네이티브 워커 크래시(Onigmo native worker crash)
- Org 모드 렌더링 오류 급증(Org mode render error burst)
CVE-2026-15723 — OmniAuth-LDAP 자동 연결 이메일 조회 부적절한 인증 (GitLab CE/EE)
OmniAuth SAML과 LDAP 자동 연결이 모두 활성화된 환경에서, 인증된 사용자가 대상 사용자의 별도 동작 없이 기존 LDAP 기반 계정을 탈취할 수 있었던 문제를 수정했습니다. 이 문제는 OmniAuth ID 연결 과정에서 사용하는 LDAP 이메일 조회 경로의 입력값이 적절히 정제되지 않아 발생했습니다.
- CVE: CVE-2026-15723
- 영향 버전 (GitLab CE/EE): 10.1 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 8.2 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 stealthy 님께 감사드립니다.
CVE-2026-112212 — OAuth/OIDC 디스커버리 엔드포인트 캐시 오염 (GitLab CE/EE)
특정 조건에서 인증되지 않은 사용자가 공유 캐시의 OAuth/OIDC 디스커버리 문서를 오염시키고, 일부 흐름을 공격자가 제어하는 외부 서버로 리디렉션할 수 있었던 문제를 수정했습니다. 이 문제는 캐시된 디스커버리 응답의 엔드포인트 URL을 구성할 때 사용자가 제공한 값을 부적절하게 신뢰해 발생했습니다.
- CVE: CVE-2026-112212
- 영향 버전 (GitLab CE/EE): 18.3 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 7.5 (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:L)
- 제보: 이 취약점은 GitLab 팀 구성원 Peter Arts가 내부적으로 발견했습니다.
CVE-2026-12664 — GraphQL 작업 항목 이메일 주소 필드 부적절한 접근 제어 (GitLab CE/EE)
특정 조건에서 GraphQL 필드의 스코프 적용이 불충분하여, read_api 스코프 토큰을 가진 인증된 사용자가 토큰의 제한을 우회해 프로젝트의 수신 이메일 주소를 조회하고 작업 항목을 생성할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-12664
- 영향 버전 (GitLab CE/EE): 18.2 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 6.8 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 go7f0 님께 감사드립니다.
CVE-2026-16255 — 인스턴스 전체 SAML/LDAP 멤버십 잠금 적용 미흡 (GitLab EE)
인스턴스 전체 SAML 또는 LDAP 멤버십 잠금이 활성화된 환경에서, 인증된 사용자가 ID 공급자의 통제를 벗어나 프로젝트 및 그룹 멤버십을 부여하거나 수락할 수 있었던 문제를 수정했습니다. 이 문제는 잠금 활성화 이전에 생성된 요청에 잠금이 완전히 적용되지 않아 발생했습니다.
- CVE: CVE-2026-16255
- 영향 버전 (GitLab EE): 12.0 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 5.9 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 3nvz 님께 감사드립니다.
CVE-2026-105777 — 내부 응답 헤더 내부 자격 증명 노출 (GitLab CE/EE)
특정 조건에서 내부 응답 헤더 필터링이 부적절하여, 인증되지 않은 사용자가 민감한 내부 서버 자격 증명을 얻을 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-105777
- 영향 버전 (GitLab CE/EE): 17.6.5 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 altair00 님께 감사드립니다.
CVE-2026-13319 — 그룹 마일스톤 API 사용자 제어 키를 통한 인가 우회 (GitLab CE/EE)
그룹 마일스톤 API에서 사용자가 지정한 프로젝트 필터 파라미터에 대한 인가 검사가 누락되어, 인증된 사용자가 멤버로 속하지 않은 비공개 프로젝트의 마일스톤 메타데이터를 읽을 수 있었던 문제를 수정했습니다. 노출될 수 있었던 정보에는 제목, 설명, 전체 프로젝트 경로가 포함됩니다.
- CVE: CVE-2026-13319
- 영향 버전 (GitLab CE/EE): 15.10 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 a0xnirudh 님께 감사드립니다.
CVE-2026-112378 — AI Gateway 기능 활성화 헤더 신뢰도 낮은 출처 사용 (GitLab EE)
특정 조건에서 서버가 유료 기능 이용 자격을 충분히 검증하지 않아, 인증된 사용자가 유효한 구독 없이 유료 AI 기능을 사용할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-112378
- 영향 버전 (GitLab EE): 17.8 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
- 제보: 이 취약점은 GitLab 팀 구성원 Halil Coban이 내부적으로 발견했습니다.
CVE-2026-105711 — 머지 요청 제목 렌더링 민감 정보 포함 캐시 사용 (GitLab CE/EE)
공개 프로젝트의 머지 요청이 비공개 프로젝트의 기밀 이슈를 참조할 때, 해당 프로젝트의 멤버가 아닌 인증된 사용자가 기밀 이슈의 제목을 읽을 수 있었던 문제를 수정했습니다. 이 문제는 프래그먼트 캐시 키가 조회자를 구분하지 않아, 사용자별로 정보를 가려야 하는 렌더링 결과가 모든 사용자에게 공유되면서 발생했습니다.
- CVE: CVE-2026-105711
- 영향 버전 (GitLab CE/EE): 15.0 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 3.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 20kilograma 님께 감사드립니다.
CVE-2026-14288 — 머지 요청 승인 정책 적용 부적절한 접근 제어 (GitLab EE)
특정 조건에서 승인 규칙 동기화 중 접근 제어가 부적절하여, 인증된 사용자가 보호된 브랜치에 필요한 머지 요청 승인 정책을 우회할 수 있었던 문제를 수정했습니다.
- CVE: CVE-2026-14288
- 영향 버전 (GitLab EE): 17.4 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 3nvz 님께 감사드립니다.
CVE-2026-112326 — 보안 결과 예외 발생 시 부적절한 정리 (GitLab EE)
특정 조건에서 읽기 전용 권한을 가진 인증된 사용자가 기존 취약점 레코드를 영구 삭제할 수 있었던 문제를 수정했습니다. 이 문제는 오류 처리 시 정리 로직이 기존 레코드와 새로 생성된 레코드를 구분하지 못해 발생했습니다.
- CVE: CVE-2026-112326
- 영향 버전 (GitLab EE): 17.8 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
- 제보: 이 취약점은 GitLab 팀 구성원 Gregory Havenga가 내부적으로 발견했습니다.
CVE-2026-103515 — 그룹 Duo 관리자 잠금 적용(Amazon Q 설정) 부적절한 접근 제어 (GitLab EE)
인스턴스 관리자가 그룹의 Duo 사용 설정을 잠근 상태에서도, 그룹 Owner 권한을 가진 인증된 사용자가 해당 그룹과 하위 프로젝트에서 AI 기능을 통한 서드파티 서비스로의 데이터 전송을 다시 활성화할 수 있었던 문제를 수정했습니다. 이 문제는 관리자 잠금 제어가 충분히 세분화되지 않아 발생했습니다.
- CVE: CVE-2026-103515
- 영향 버전 (GitLab EE): 19.2 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만
- CVSS: 2.7 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N)
- 제보: HackerOne 버그 바운티 프로그램으로 제보해 주신 3nvz 님께 감사드립니다.
버그 수정
19.5.1
- 스테이블 브랜치에 누락된 19.5 문서 페이지 백포트
- 19-5-stable-ee에 19.5 릴리즈 노트 백포트
- roulette 실험 기본 스펙에서 CI 변수를 무시하도록 수정 백포트
- 범위 선택기 검색 쿼리 스펙 격리(Quarantine) 백포트
- 최신 스테이블 브랜치에 GitLab Runner 19.5 릴리즈 게시글 백포트
- CNG Helm 차트 참조를 v10.5.0으로 상향
- Duo CLI용 GITLAB_BIN_DIR 설정 및 워크플로 이미지 v0.0.23 상향 19.5 백포트
- 내부 Orbit 프로젝트 정보에서 repository_storage를 반환하도록 수정 19.5 백포트
- Gitaly가 ResourceExhausted로 GetArchive를 거부할 때 Workhorse가 429를 반환하도록 수정 백포트
- 파이프라인 실행 정책 파이프라인에 파이프라인 IID를 할당하도록 수정 백포트
- 커밋 목록의 탐색 버튼이 현재 파일 경로로 연결되도록 수정 19.5 백포트
- 리포지터리 백업 시 필요한 스니펫 컬럼만 불러오도록 개선 백포트
- gitlab-markup을 2.2.0으로, rdoc을 8.1.0으로 업데이트 (19.5)
.browserslistrc의 Baseline 날짜 고정 19.5 백포트- 요청마다 기본 플로 카탈로그 항목을 캐시하도록 개선 백포트
- 작업 항목 유형 변경 및 하위 마일스톤의 features 필드 문제 수정
- 백트레이스를 수집하지 않고 Rouge Fallthrough를 발생시키도록 수정 19.5 백포트
- 202610150001_19_05 What's New 항목 추가 백포트
- 리포지터리가 없을 때 Orbit 아카이브와 changed_paths가 404를 반환하도록 수정 19.5 백포트
- fetch가 없는 작업이 Git 객체 풀을 빌려 쓰지 않도록 수정 및 다운스트림 파이프라인의 Git alternates 수정 백포트
- Ruby 3.3, 3.4 및 4.0용 정규식 반복 ID 오버플로 패치 추가 (19.5, CNG)
- Ruby 3.3, 3.4 및 4.0용 정규식 반복 ID 오버플로 패치 추가 (19.5, Omnibus)
19.4.3
- Siphon CDC 테이블 정의를 포함하는 siphon-tables 이미지 번들링 추가 (19.4)
- Ruby 3.3, 3.4 및 4.0용 정규식 반복 ID 오버플로 패치 추가 (19.4, CNG)
- ListRefs에서 선택적으로 태거 날짜를 노출하도록 개선 19.4 백포트
- Developer 플로 트리거에서 오래된 merge_request 이벤트 제거 19.4 백포트
- Gitlab::HTTP HTTP_ERRORS에 IP 폴백 오류 추가 19.4 백포트
- 내보내기 파일 간 CVE 보강 동기화를 이어서 수행하도록 수정 19.4 백포트
- 로그아웃 사용자에게 diff가 잘려 표시되는 문제 수정 19.4 백포트
- Workhorse에서 클라이언트가 제공한 MCP 도구의 신뢰(trusted) 플래그를 제거하도록 수정 19.4 백포트
- 태그 이름이 대상 브랜치 이름과 같을 때 fast-forward 머지가 실패하는 문제 수정 19.4 백포트
- roulette 실험 기본 스펙에서 CI 변수를 무시하도록 수정 백포트
- 포크 MR 파이프라인에 누락된 ID 토큰 클레임 추가 19.4 백포트
- 리포지터리 백업 시 필요한 스니펫 컬럼만 불러오도록 개선 백포트
- Duo CLI용 GITLAB_BIN_DIR 설정 및 워크플로 이미지 v0.0.23 상향 19.4 백포트
.browserslistrc의 Baseline 날짜 고정 19.4 백포트- 내부 Orbit 프로젝트 정보에서 repository_storage를 반환하도록 수정 19.4 백포트
- Gitaly가 ResourceExhausted로 GetArchive를 거부할 때 Workhorse가 429를 반환하도록 수정 백포트
- 파이프라인 실행 정책 파이프라인에 파이프라인 IID를 할당하도록 수정 백포트
- gitlab-markup을 2.2.0으로, rdoc을 8.1.0으로 업데이트 (19.4)
- 리포지터리가 없을 때 Orbit 아카이브와 changed_paths가 404를 반환하도록 수정 19.4 백포트
- 백트레이스를 수집하지 않고 Rouge Fallthrough를 발생시키도록 수정 19.4 백포트
- 머지 가능 여부 필드에서 불필요한 커미터 일괄 로드 제거 19.4 백포트
- 위키 환경 조정 19.4 백포트
- Ruby 3.3, 3.4 및 4.0용 정규식 반복 ID 오버플로 패치 추가 (19.4, Omnibus)
19.3.6
- Ruby 3.3, 3.4 및 4.0용 정규식 반복 ID 오버플로 패치 추가 (19.3, CNG)
- ListRefs에서 선택적으로 태거 날짜를 노출하도록 개선 19.3 백포트
- Gitlab::HTTP HTTP_ERRORS에 IP 폴백 오류 추가 19.3 백포트
- 내보내기 파일 간 CVE 보강 동기화를 이어서 수행하도록 수정 19.3 백포트
- 태그 이름이 대상 브랜치 이름과 같을 때 fast-forward 머지가 실패하는 문제 수정 19.3 백포트
- Workhorse에서 클라이언트가 제공한 MCP 도구의 신뢰(trusted) 플래그를 제거하도록 수정 19.3 백포트
- 포크 MR 파이프라인에 누락된 ID 토큰 클레임 추가 19.3 백포트
- 리포지터리 백업 시 필요한 스니펫 컬럼만 불러오도록 개선 백포트
- Gitaly가 ResourceExhausted로 GetArchive를 거부할 때 Workhorse가 429를 반환하도록 수정 백포트
.browserslistrc의 Baseline 날짜 고정 19.3 백포트- 내부 Orbit 프로젝트 정보에서 repository_storage를 반환하도록 수정 19.3 백포트
- gitlab-markup을 2.2.0으로, rdoc을 8.1.0으로 업데이트 (19.3)
- 위키 환경 조정 19.3 백포트
- 백트레이스를 수집하지 않고 Rouge Fallthrough를 발생시키도록 수정 19.3 백포트
- 리포지터리가 없을 때 Orbit 아카이브와 changed_paths가 404를 반환하도록 수정 19.3 백포트
- Prometheus를 3.13.2 버전으로 상향 (19-3-stable)
- Ruby 3.3, 3.4 및 4.0용 정규식 반복 ID 오버플로 패치 추가 (19.3, Omnibus)
19.2.9
- Ruby 3.3, 3.4 및 4.0용 정규식 반복 ID 오버플로 패치 추가 (19.2, CNG)
- 포크 MR 파이프라인에 누락된 ID 토큰 클레임 추가 19.2 백포트
- gitlab-markup을 2.2.0으로, rdoc을 8.1.0으로 업데이트 (19.2)
- Prometheus를 3.13.2 버전으로 상향 (19-2-stable)
- Ruby 3.3, 3.4 및 4.0용 정규식 반복 ID 오버플로 패치 추가 (19.2, Omnibus)
19.1.9
- websocket-driver를 0.8.0에서 0.8.2로 상향 (19-1-stable-ee 백포트)
- 빈 CI 파티션에서 백필 마이그레이션이 겹치는 문제 수정 19-1-stable-ee 백포트
- GitLab Elasticsearch Indexer를 5.14.14로 업데이트 19.1 백포트
- 시크릿 스펙의 시스템 실패 단언 제거 19-1-stable-ee 백포트
- 19.1의 gitlab-shell을 14.56.1로 상향 (gitlab-sshd CPU 점유 문제 수정)
- PostgreSQL을 17.11 버전으로 상향 (19-1-stable)
- Consul을 1.22.7 버전으로 상향 (19-1-stable)
- sdg-fips-staging-upload-internal-release 브랜치 내용을 19.1에 반영 (Merge branch)
- !9672 19-1-stable 백포트: RHEL 10 / OpenSSH 9.8 이상용 SELinux sshd_session_t 및 sshd_auth_t 규칙 추가
- !9744 19-1-stable 백포트: SELinux 환경에서 sshd 빠른 SSH 키 조회 허용
- Patroni 스트리밍 상태를 실행 중인 노드로 처리하도록 수정 (19-1-stable 백포트)
- Ruby 3.3 및 3.4용 정규식 반복 범위 이중 해제 패치 추가 (19.1, CNG)
- Ruby 3.3 및 3.4용 정규식 반복 범위 이중 해제 패치 추가 (19.1, Omnibus)
19.0.10
- 스테이징 및 프로덕션 업로드 타임아웃을 35분에서 60분으로 상향
- Ruby 3.3 및 3.4용 정규식 반복 범위 이중 해제 패치 추가 (19.0, CNG)
- Ruby 3.3 및 3.4용 정규식 반복 범위 이중 해제 패치 추가 (19.0, Omnibus)
18.11.13
- 스테이징 및 프로덕션 업로드 타임아웃을 35분에서 60분으로 상향
- Mattermost 보안 업데이트 2026년 8월 13일
- Ruby 3.3 및 3.4용 정규식 반복 범위 이중 해제 패치 추가 (18.11, CNG)
- Ruby 3.3 및 3.4용 정규식 반복 범위 이중 해제 패치 추가 (18.11, Omnibus)
업그레이드 시 주의사항
이 패치에는 업그레이드 과정에 영향을 줄 수 있는 데이터베이스 마이그레이션이 포함되어 있습니다.
설치 환경별 영향:
- 단일 노드 인스턴스: 마이그레이션이 완료되어야 GitLab을 시작할 수 있으므로, 업그레이드 중 다운타임이 발생할 수 있습니다.
- 다중 노드 인스턴스: 적절한 무중단(zero-downtime) 업그레이드 절차를 따르면 다운타임 없이 적용할 수 있습니다.
일반 마이그레이션(Regular migrations): 19.4.3, 19.3.6에 포함되어 있으며, 업그레이드 과정에서 실행됩니다.
배포 후 마이그레이션(Post-deploy migrations): 19.4.3에 포함되어 있으며, 업그레이드 이후에 실행할 수 있습니다. 다중 노드 환경에서는 무중단 업그레이드 절차를, 단일 노드 환경에서는 표준 업그레이드 절차를 따르세요.
업그레이드 안내
GitLab을 업데이트하려면 업데이트 페이지를 참조하세요. GitLab Runner를 업데이트하려면 Runner 업데이트 페이지를 참조하세요.
GitLab에 대한 자세한 정보나 데모가 필요하신가요? GitLab 업그레이드를 계획하고 계신가요? 인포그랩에 문의하세요. DevOps 전문가가 도와드립니다.
관련 글
GitLab 크리티컬 보안 패치 릴리즈 19.4.2, 19.3.5, 19.2.8
GitLab 19.4.2, 19.3.5, 19.2.8 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 5건을 포함한 24건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), 구문 강조의 크로스 사이트 스크립팅(CVSS 8.7), 다운스트림 파이프라인 생성 서비스의 부적절한 인가(CVSS 8.5)가 있습니다.
GitLab 크리티컬 보안 패치 릴리즈 19.4.1, 19.3.3, 19.2.7
GitLab 19.4.1, 19.3.3, 19.2.7 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 2건·높음 2건을 포함한 11건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 서버에서 임의 코드를 실행할 수 있는 정규식 파서 이중 해제(CVSS 9.9)와 정규식 컴파일러 정수 오버플로(CVSS 9.9), 머지 요청 diff 뷰어의 크로스 사이트 스크립팅(CVSS 8.7)이 있습니다.
GitLab 긴급(크리티컬) 보안 패치 릴리즈 19.3.2, 19.2.6, 19.1.8
GitLab 19.3.2, 19.2.6, 19.1.8 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 2건·높음 6건을 포함한 18건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 인증 없이 서버의 임의 파일을 읽을 수 있는 저장소 커밋 API 경로 조작(CVSS 10.0), GraphQL 구독 직렬화기의 안전하지 않은 역직렬화(CVSS 9.9), 고급 검색 인덱싱의 버퍼 오버플로를 통한 원격 코드 실행(CVSS 8.5)이 있습니다. (9월 23일 추가: 크리티컬 2건을 18.11·19.0 라인에 백포트한 19.0.9, 18.11.12 출시, CVE-2026-85706 CISA KEV 등재)