알파인 리눅스, CVE-2026-97229 악용 시도로 GitLab 재구축
원제 GitLab Security Incident: Attempted Exploitation of CVE-2026-97229
103 포인트댓글 37
Key Point
Ruby 표준 라이브러리의 취약점이 GitLab 같은 주요 서비스를 뚫 수 있다는 점과, 보안 업데이트만으로는 부족하고 컴포넌트 패치까지 확인해야 한다는 교훈이 개발 운영 전략에 영향을 미칩니다.
핵심 요약
- CVE-2026-97229는 Ruby의 정규표현식 엔진 Onigmo의 심각한 취약점(CVSS 10.0)으로, GitLab CI 설정 처리 시 악용될 수 있다.
- 10월 20~21일 공격자가 새로 등록한 계정으로 정교한 CI 설정을 보내 GitLab 워커 프로세스를 8번 다운시켰고, 4번은 악용을 시도했으나 실패했다.
- 공격자가 GitLab 컨테이너 이미지를 다운로드해 악용 코드를 조정하려 한 정황이 있지만, 서버에서 실제 코드 실행 증거는 없다.
- GitLab은 10월 12일 수정 버전을 공개했지만, Alpine의 인스턴스는 실수로 10월 13일에 버그 있는 19.3.4 버전으로 업그레이드되었다.
- 10월 22일 19.3.6으로 업그레이드 후에도 취약점이 남아있었는데, 이는 Ruby 패치를 적용하지 않았기 때문이었다.
- 코드 실행 여부를 완전히 배제할 수 없어 10월 27일 GitLab을 모두에게 폐쇄하고 처음부터 재구축했다.
- 10월 20~24일 패키지와 10월 21일 안정 릴리스(3.21.9, 3.22.7, 3.23.7, 3.24.3)는 GitLab 외부 기록과 대조해 변조되지 않았음을 확인했다.
- 패키지 서명 키는 GitLab 서버에 저장된 적이 없으며, 개인 데이터는 웹/API 요청으로 공격자에게 반환되지 않았다.
- 성공한 악용은 충돌이나 웹 로그 흔적을 남기지 않으며, 백그라운드 작업 로그와 일부 로그는 삭제되어 완벽한 부정이 어렵다.
- 향후 GitLab 보안 업데이트는 하루 내에 적용하고, 아웃바운드 연결 로깅 추가 및 로그 보관 기간 연장(14일 이상), 서명된 릴리스 태그 도입을 추진한다.