GitLab은 중요한 임의 분기 파이프라인 실행 결함을 포함하여 CE(Community Edition) 및 EE(Enterprise Edition)의 여러 결함을 해결하기 위한 보안 업데이트를 출시했습니다.
다음과 같이 추적되는 취약점 CVE-2024-9164를 사용하면 권한이 없는 사용자가 저장소의 모든 분기에서 CI/CD(지속적 통합/지속적 전달) 파이프라인을 트리거할 수 있습니다.
CI/CD 파이프라인은 일반적으로 적절한 권한이 있는 사용자에게만 제공되는 코드 빌드, 테스트, 배포 등의 작업을 수행하는 자동화된 프로세스입니다.
분기 보호를 우회할 수 있는 공격자는 잠재적으로 코드를 실행하거나 민감한 정보에 액세스할 수 있습니다.
CVSS v3.1 등급 9.6(중요)을 받은 이 문제는 12.5~17.2.8, 17.3~17.3.4, 17.4~17.4.1의 모든 GitLab EE 버전에 영향을 미칩니다. .
GitLab 사용자를 위한 업그레이드 대상 버전인 17.4.2, 17.3.5, 17.2.9 버전에서 패치가 제공되었습니다.
GitLab의 보안 공지에서는 “아래 설명된 문제의 영향을 받는 버전을 실행하는 모든 설치를 가능한 한 빨리 최신 버전으로 업그레이드할 것을 강력히 권장합니다”라고 경고합니다.
클라우드 호스팅 인스턴스는 항상 사용 가능한 최신 버전을 실행하므로 GitLab Dedicated 고객은 어떤 조치도 취할 필요가 없다는 것이 명확해졌습니다.
CVE-2024-9164와 함께 최신 GitLab 릴리스는 아래 보안 문제를 해결합니다.
- CVE-2024-8970: 공격자가 파이프라인을 다른 사용자로 트리거할 수 있도록 하는 심각도가 높은 임의 사용자 가장 결함입니다.
- CVE-2024-8977: 분석 대시보드의 심각도가 높은 SSRF 결함으로 인해 인스턴스가 SSRF 공격에 취약해집니다.
- CVE-2024-9631: 충돌이 있는 병합 요청의 차이점을 볼 때 성능이 저하되는 심각도가 높은 결함입니다.
- CVE-2024-6530: OAuth 인증 중에 교차 사이트 스크립팅을 허용하는 OAuth 페이지의 심각도가 높은 HTML 삽입 취약점입니다.
- CVE-2024-9623, CVE-2024-5005, CVE-2024-9596: 보관된 저장소로 푸시되는 키 배포, API를 통해 프로젝트 템플릿을 공개하는 게스트 사용자, 승인되지 않은 사용자에게 GitLab 인스턴스 버전 공개를 포함하여 심각도가 낮거나 중간인 결함입니다.
GitLab 파이프라인은 최근 플랫폼과 사용자에게 지속적인 보안 취약점의 원인임이 입증되었습니다.
GitLab은 지난달 CVE-2024-6678, 7월 CVE-2024-6385, 6월 CVE-2024-5655를 포함하여 올해 여러 차례 임의 파이프라인 실행 취약점을 해결했으며 모두 중요 등급으로 평가되었습니다.
지침, 소스 코드 및 패키지를 보려면 GitLab의 공식 다운로드 포털을 확인하세요. 최신 GitLab Runner 패키지는 여기에서 사용할 수 있습니다.
