GitLab, 원격 코드 실행 보안 패치 긴급 배포

핵심 요약

• GitLab은 10월 21일 CE/EE의 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 버전을 배포했으며, 모든 자체 관리형 설치 환경의 즉시 업그레이드를 강력히 권고했다.
• CVE-2026-110264는 정규식 컴파일 시 정수 오버플로우로 인해 인증되지 않은 사용자가 악의적 정규식을 업로드하여 GitLab 서버에서 임의 코드를 실행할 수 있는 취약점으로, CVSS 10.0의 심각도를 가진다.
• 이 패치는 7.0 버전부터 현재까지 모든 버전에 적용되었으며, 위협 탐지 기능 두 개(Onigmo 네이티브 워커 크래시, Org 모드 렌더 에러 폭발)가 자체 관리 환경을 돕기 위해 배포되었다.
• CVE-2026-15723(CVSS 8.2)은 OmniAuth SAML과 LDAP 자동 연결 시 인증된 사용자가 이메일 검증 부실로 LDAP 계정을 탈취할 수 있고, 10.1 버전 이상 모든 버전에 영향을 미친다.
• CVE-2026-112212(CVSS 7.5)는 OAuth/OIDC 검색 끝점 캐시 중독으로 인증 없는 사용자가 외부 서버로 리다이렉트 가능한 발견 문서를 주입할 수 있다.
• 이 외에도 GraphQL 접근 제어 부재(CVE-2026-12664), SAML/LDAP 멤버십 잠금 미시행(CVE-2026-16255), 내부 자격증명 노출(CVE-2026-105777) 등 11개의 보안 취약점이 수정되었다.
• 각 버전별로 Ruby 정규식 오버플로우 패치, 저장소 스토리지 정보 반환, Gitaly 리소스 제한 시 429 응답 처리, 파이프라인 IID 할당 등 다수의 버그 수정이 포함되었다.
• 19.4.3과 19.3.6 버전에는 데이터베이스 마이그레이션이 포함되어 단일 노드는 다운타임 발생, 다중 노드는 제대로 된 무중단 업그레이드 절차 시 무중단 적용 가능하다.
• HackerOne 버그 바운티 프로그램과 내부 팀원들로부터 대부분 취약점이 보고되었으며, GitLab.com과 GitLab Dedicated는 이미 패치 버전을 실행 중이다.