GitLab 보안 패치 릴리즈 19.5.4, 19.4.6, 19.3.8
2026년 11월 10일 GitLab Community Edition(CE)과 Enterprise Edition(EE)의 패치 버전 19.5.4, 19.4.6, 19.3.8이 출시되었습니다.
이번 릴리즈는 정기 패치가 아니라 심각도가 높은 취약점에 대응하는 긴급 패치(ad-hoc critical patch)입니다. GitLab에 포함된 git의 힙 버퍼 오버플로(heap-based buffer overflow) 취약점(CVE-2026-105437)을 git 버전 업데이트로 수정합니다. GitLab은 모든 셀프 관리형 설치를 이번 패치 버전 가운데 하나로 즉시 업그레이드할 것을 강력히 권장합니다.
GitLab.com과 GitLab Dedicated에는 이미 패치가 적용되어 있어 별도의 조치가 필요하지 않습니다.
소스에서 직접 빌드한 설치는 git도 다시 빌드해야 합니다
이번 수정은 GitLab 코드가 아니라 git 자체에 대한 패치입니다. 공식 GitLab Linux 패키지와 컨테이너 이미지에는 수정된 git이 이미 포함되어 있습니다. 소스에서 직접 빌드한 설치(self-compiled)는 아래 두 가지를 모두 해야 합니다.
- Gitaly에 내장된 git을 다시 빌드하세요. Gitaly 업데이트 절차를 따르면 Gitaly에 내장된 git 바이너리가 다시 빌드됩니다.
config/gitlab.yml의git.bin_path가 가리키는 git도 다시 빌드하세요. 같은 버전의 Gitaly stable 브랜치에서 빌드하며, 방법은 Git 설치 안내를 참조하세요. 이 git을 배포판 패키지로 설치했다면 2.56.1 이상으로 올리거나, 배포판이 CVE-2026-105437을 패치한 버전으로 업그레이드하세요.
권장 조치
아래 취약점의 영향을 받는 버전을 사용 중이라면 가능한 한 빨리 최신 패치 버전으로 업그레이드할 것을 강력히 권장합니다. 특정 배포 유형(Omnibus, 소스 코드, Helm 차트 등)이 명시되지 않았다면 모든 배포 유형이 영향을 받습니다.
보안 취약점
이번 릴리즈에서 수정된 보안 취약점은 1건이며, 심각도는 Critical입니다. GitLab은 이번 릴리즈에 CVSS 점수를 표기하지 않았습니다.
| CVE | 제목 | 심각도 | CVSS |
|---|---|---|---|
| CVE-2026-105437 | git의 힙 버퍼 오버플로 취약점 | Critical | 원문 미표기 |
CVE-2026-105437 — git의 힙 버퍼 오버플로 (GitLab CE/EE)
GitLab에 포함된 git에서 힙 버퍼 오버플로 취약점이 발견되어, GitLab에 함께 배포하는 git 버전을 업데이트해 수정했습니다. 특정 조건에서 힙 영역 밖에 데이터를 쓰는 문제(out-of-bounds heap write)가 발생하며, 이를 이용해 GitLab의 Gitaly 환경 안에서 임의 명령을 실행할 수 있습니다. GitLab.com과 GitLab Dedicated, 그리고 GitLab CE/EE 19.3.8, 19.4.6, 19.5.4에서 수정되었습니다.
- CVE 상세 정보: CVE-2026-105437
- 영향 버전 (GitLab CE/EE): 16.2 이상 19.3.8 미만, 19.4 이상 19.4.6 미만, 19.5 이상 19.5.4 미만
- 심각도: Critical (CVSS 점수는 원문 미표기)
HackerOne 버그 바운티 프로그램으로 제보해 주신 taise 님께 감사드립니다.
버그 수정
19.5.4
- 19.5: danger-review 컴포넌트를 2.2.0으로 업데이트
- 백업: S3 호환 백업 저장소용 gocloud.dev를 v0.47.0으로 상향 (19-5-stable 백포트)
- CI: 머지 요청 대상 브랜치에 맞는 Omnibus 브랜치에서 패키징 (19-5-stable 백포트)
- CI: Omnibus 패키지 트리거에 머지 요청 대상 브랜치를 바로 사용 (19-5-stable)
- ‘리스 경합 시 StoreScansWorker 재시도 간격을 늘리도록 개선’ 19.5 백포트
- ‘이벤트 정리 작업이 오래된 스캔 커서를 옮기지 않도록 수정’ 19.5 백포트
- ‘OpenBao 로그인 응답이 JSON이 아니면 차단 쪽으로 실패하도록 수정’ 백포트
- 19.5: gRPC 기본 루트 인증서로 시스템 CA 번들 사용
- recommend_reviewers의 전체 코딩 환경 복원
- ‘GitLab Orbit 정식 출시(GA) 19.5 릴리즈 노트 추가’ 백포트
- ‘API 전용 플로의 이미지에 curl이 없으면 바로 실패하도록 수정’ 백포트
- ‘오래된 브라우저 콘솔 허용 목록 스펙으로 실패하지 않도록 수정’ 19.5 백포트
- ‘최상위 의존성 상위 항목을 직접 그래프 간선에서 읽도록 개선’ 19.5 백포트
- ‘수집 시 전체 의존성 그래프를 순회하지 않도록 개선’ 19.5 백포트
- ‘조직 리소스 상위 항목의 use_legacy_view? 수정’ 백포트
- ‘PagesWorker 재시도가 소진되면 멈춘 pages:deploy 상태를 정리하도록 수정’ 백포트
- ‘영향받는 패키지 조회를 LATERAL 조인으로 제한하도록 개선’ 19.5 백포트
- ‘스트리밍되는 Rapid Diffs 경로에 상대 URL 루트를 유지하도록 수정’ 백포트
19.4.6
- 19.4: danger-review 컴포넌트를 2.2.0으로 업데이트
- 빌드: 19-4-stable을 Go 1.26으로 빌드
- 백업: S3 호환 백업 저장소용 gocloud.dev를 v0.47.0으로 상향 (19-4-stable 백포트)
- CI: 머지 요청 대상 브랜치에 맞는 Omnibus 브랜치에서 패키징 (19-4-stable 백포트)
- CI: Omnibus 패키지 트리거에 머지 요청 대상 브랜치를 바로 사용 (19-4-stable)
- 19.4: gRPC 기본 루트 인증서로 시스템 CA 번들 사용
- ‘언어 ID 제약 마이그레이션 스펙의 상태 누수 수정’ 19.4 백포트
- ‘수집 중 취약점 식별자 upsert를 일괄 처리하도록 개선’ 19.4 백포트
- ‘Security::Scans::PurgeByJobIdWorker에 동시 실행 한도 추가’ 19.4 백포트
- ‘그래프 빌드의 상위 조회를 위해 SBOM 발생 항목을 색인하도록 개선’ 19.4 백포트
- ‘PagesWorker 재시도가 소진되면 멈춘 pages:deploy 상태를 정리하도록 수정’ 백포트
- ‘영향받는 패키지 조회를 LATERAL 조인으로 제한하도록 개선’ 19.4 백포트
- ‘스트리밍되는 Rapid Diffs 경로에 상대 URL 루트를 유지하도록 수정’ 백포트
- ‘최상위 의존성 상위 항목을 직접 그래프 간선에서 읽도록 개선’ 19.4 백포트
- ‘수집 시 전체 의존성 그래프를 순회하지 않도록 개선’ 19.4 백포트
19.3.8
- 19.3: Ruby 3.3용 ISEQ 및 imemo_env Copy-on-Write GC 수정 백포트
- 19.3: danger-review 컴포넌트를 2.2.0으로 업데이트
- 빌드: 19-3-stable을 Go 1.26으로 빌드
- CI: 머지 요청 대상 브랜치에 맞는 Omnibus 브랜치에서 패키징 (19-3-stable 백포트)
- CI: Omnibus 패키지 트리거에 머지 요청 대상 브랜치를 바로 사용 (19-3-stable)
- 백업: S3 호환 백업 저장소용 gocloud.dev를 v0.47.0으로 상향 (19-3-stable 백포트)
- ‘변경되지 않은 취약점 식별자는 다시 쓰지 않도록 개선’ 19.3 백포트
- ‘언어 ID 제약 마이그레이션 스펙의 상태 누수 수정’ 19.3 백포트
- 19.3: gRPC 기본 루트 인증서로 시스템 CA 번들 사용
- ‘탐지 식별자의 충돌하는 삽입을 건너뛰도록 수정’ 19.3 백포트
- ‘수집 중 취약점 식별자 upsert를 일괄 처리하도록 개선’ 19.3 백포트
- ‘기본 인증 또는 베어러로 전달된 CI 작업 토큰을 작업 사용자 기준으로 집계’ 중 감사 이벤트 수정 19.3 백포트
- ‘머지 가능 여부 필드에서 불필요한 커미터 일괄 로드 제거’ 19.3 백포트
- 19.3: Ruby 3.3용 ISEQ 및 imemo_env Copy-on-Write GC 수정 백포트 (Omnibus)
업그레이드 안내
이번 버전에는 새 마이그레이션이 없으며, 다중 노드 배포는 다운타임 없이 업그레이드할 수 있습니다. 다만 Omnibus 패키지는 업그레이드 규모와 관계없이 기본적으로 서비스를 멈추고 마이그레이션을 실행한 뒤 다시 시작합니다. 이 동작은 /etc/gitlab/skip-auto-reconfigure 파일을 추가해 바꿀 수 있으며, 이 파일은 업그레이드할 때만 사용됩니다.
GitLab을 업데이트하려면 업데이트 페이지를 참조하세요.
관련 글
GitLab 보안 패치 릴리즈 19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11, 18.11.14
GitLab 19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11, 18.11.14 패치가 출시되었습니다. 개인키가 유출된 eMudhra 중간 CA 인증서 8개의 신뢰를 GitLab이 배포하는 인증서 저장소에서 제거한 수정(CVE-2026-111943) 한 건이 포함됩니다. GitLab만 올려서는 끝나지 않습니다. GitLab Runner를 19.5.1로, AI Gateway를 해당 버전으로 각각 따로 올려야 하며, 자체 ca-certificates 패키지를 포함한 CI/CD 작업 이미지는 다시 빌드해야 합니다. 19.5.3과 19.4.5에는 일반 마이그레이션이 포함되어 단일 노드 설치는 업그레이드 중 다운타임이 발생합니다.
GitLab 크리티컬 보안 패치 릴리즈 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 2건을 포함한 12건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 특수하게 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), OmniAuth SAML과 LDAP 자동 연결 시 기존 LDAP 계정 탈취가 가능한 부적절한 인증(CVSS 8.2), OAuth/OIDC 디스커버리 엔드포인트 캐시 오염(CVSS 7.5)이 있습니다.
GitLab 크리티컬 보안 패치 릴리즈 19.4.2, 19.3.5, 19.2.8
GitLab 19.4.2, 19.3.5, 19.2.8 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 5건을 포함한 24건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), 구문 강조의 크로스 사이트 스크립팅(CVSS 8.7), 다운스트림 파이프라인 생성 서비스의 부적절한 인가(CVSS 8.5)가 있습니다.