GitLab, 최고 심각도 경로 탐색 취약점 즉시 패치 촉구

한 줄 요약

GitLab이 최고 심각도의 경로 탐색(Path Traversal) 취약점(CVE-2023-2825)을 포함해 두 건의 심각한 보안 결함을 패치하고 즉시 업그레이드를 권고했습니다. CVE-2023-2825는 인증 없이도 공격자가 서버의 임의 파일을 읽을 수 있는 위험한 취약점이며, CVE-2026-87719는 인증된 사용자가 민감한 자격증명을 탈취할 수 있는 역직렬화 취약점입니다. 두 취약점 모두 GitLab CE/EE 버전 19.3.2, 19.2.6, 19.1에서 수정되었으며, GitLab.com 이용자는 이미 패치가 적용되었습니다. GitLab은 전 세계 3,000만 명 이상의 사용자와 Fortune 100 기업의 절반 이상이 사용하는 플랫폼인 만큼, 자체 서버를 운영 중인 조직은 즉시 업데이트가 필요합니다.

사건

GitLab이 최고 심각도 경로 탐색 취약점(CVE-2023-2825)과 치명적 역직렬화 취약점(CVE-2026-87719) 두 건을 공개하고 긴급 패치를 배포했습니다.

영향

CVE-2023-2825 악용 시 인증 없이 서버 내 임의 파일(소스코드, 자격증명, 토큰 등) 열람이 가능하며, CVE-2026-87719 악용 시 인증된 공격자가 민감 자격증명 및 고급 검색 설정을 탈취할 수 있습니다. Fortune 100 기업 절반 이상이 사용하는 플랫폼이라 잠재적 피해 범위가 매우 넓습니다.

원인

CVE-2023-2825는 저장소 커밋 API의 경로 제한 미흡 및 인증 강제 누락에서 비롯되었고, CVE-2026-87719는 GraphQL 구독 직렬화기(serializer)의 안전하지 않은 역직렬화(insecure deserialization) 취약점이 원인입니다.

대응

GitLab은 CE/EE 버전 19.3.2, 19.2.6, 19.1에서 두 취약점을 모두 수정했습니다. GitLab.com은 이미 패치 완료 상태이며, GitLab Dedicated 고객은 별도 조치가 불필요합니다. 자체 운영(self-managed) 서버 관리자는 즉시 해당 버전 이상으로 업그레이드해야 합니다.

실무 포인트

자체 GitLab 서버를 운영 중이라면 버전 19.3.2, 19.2.6, 19.1 중 하나로 즉시 업그레이드하십시오. CISA는 2021년 11월 이후 GitLab 취약점 4건을 실제 악용 사례로 지정한 바 있어, 패치 지연은 높은 위험을 수반합니다.

본문

GitLab은 목요일 사용자들에게 최고 심각도의 경로 탐색(Path Traversal) 취약점인 CVE-2023-2825에 대해 즉시 서버를 패치하도록 촉구했습니다.

이 보안 결함은 's3ntago'라는 핸들을 사용하는 보안 연구자가 GitLab의 HackerOne 버그 바운티 프로그램을 통해 제보한 것으로, 저장소 커밋 API의 부적절한 경로 제한 및 인증 강제 누락에서 비롯되었습니다.

GitLab에 따르면, 인증되지 않은 공격자가 "특정 조건 하에서" CVE-2023-2825를 악용하여 취약한 서버의 임의 파일을 읽을 수 있습니다.

전날, GitLab은 GraphQL 구독 직렬화기의 안전하지 않은 역직렬화(insecure deserialization) 취약점에서 비롯된 두 번째 치명적 취약점인 CVE-2026-87719도 패치했습니다.

CVE-2026-87719는 GitLab EE에 영향을 미치며, Duo Chat 접근 권한을 가진 인증된 사용자가 민감한 자격증명과 Advanced Search 인스턴스 구성을 탈취할 수 있게 합니다.

GitLab은 목요일 GitLab Community Edition(CE) 및 Enterprise Edition(EE) 버전 19.3.2, 19.2.6, 19.1에서 두 보안 문제를 수정하고, 사용자들에게 즉시 시스템을 패치하도록 촉구했습니다.

"이번 버전에는 중요한 버그 및 보안 수정 사항이 포함되어 있으며, 자체 관리(self-managed) GitLab 설치 환경 모두를 이 버전 중 하나로 즉시 업그레이드할 것을 강력히 권장합니다"라고 회사는 목요일 경고했습니다. "GitLab.com은 이미 패치된 버전을 실행 중입니다. GitLab Dedicated 고객은 별도 조치가 필요하지 않습니다."

2023년 5월, GitLab은 패치되지 않은 서버에서 독점 소프트웨어 코드, 사용자 자격증명, 토큰, 파일 등 민감한 데이터를 노출시키는 또 다른 최고 심각도 경로 탐색 취약점(CVE-2023-2825)을 해결한 바 있습니다.

1년 후, CISA와 FBI는 소프트웨어 기업들에게 제품 출시 전 경로 탐색 보안 취약점을 제거하도록 촉구하며, 이러한 결함들이 "적어도 2007년부터 '용납할 수 없는' 것으로 불려왔다"고 밝혔습니다.

더 최근인 1월에는, GitLab이 커뮤니티 및 엔터프라이즈 에디션에 영향을 미치는 높은 심각도의 2단계 인증(2FA) 우회 취약점도 패치했습니다. 이 취약점은 공격자가 대상의 계정 ID를 알고 있을 경우 2단계 인증을 우회할 수 있게 합니다.

2021년 11월 이후, 미국 사이버보안 및 인프라 보안국(CISA)은 GitLab 취약점 4건을 실제 공격에 악용된 사례로 등재했으며, 그 중 두 건(CVE-2021-22175 및 CVE-2021-39935)은 올해 2월에 지정되었습니다.

GitLab DevSecOps 플랫폼은 3,000만 명 이상의 등록 사용자를 보유하고 있으며, Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs, UBS 등을 포함한 Fortune 100 기업의 50% 이상이 사용하고 있습니다.