GitLab 긴급 보안 패치 7개 버전 배포
원제: GitLab critical patch release
왜 중요한가
Critical 등급 정규식 Integer Overflow 취약점 등은 원격 코드 실행으로 이어질 수 있어, 셀프 호스팅 환경의 즉각 업그레이드가 필수적이다.
GitLab은 2026년 10월 21일, CE/EE 대상으로 19.5.1·19.4.3·19.3.6·19.2.9·19.1.9·19.0.10·18.11.13 등 7개 버전의 긴급 보안 패치를 배포했다. 정규식 컴파일러의 Integer Overflow 취약점(Critical 등급)을 포함해 총 10건의 보안 결함이 수정됐으며, 모든 셀프 매니지드 설치 환경에 즉각 업그레이드를 권고했다.
GitLab은 이번 패치를 통해 Critical 1건, High 2건, Medium 5건, Low 2건 등 심각도별로 분류된 총 10개의 보안 취약점을 수정했다.
가장 심각한 취약점은 정규식 컴파일러에서 발생하는 Integer Overflow 문제로, CE/EE 전 버전에 영향을 준다. High 등급 취약점으로는 OmniAuth-to-LDAP 자동 연결 이메일 조회 과정에서의 인증 우회(Improper Authentication)와 OAuth/OIDC 디스커버리 엔드포인트의 Cache Poisoning이 포함됐다.
Medium 등급에는 GraphQL work item 이메일 주소 필드의 접근 제어 결함, 인스턴스 전체 SAML/LDAP 멤버십 잠금 미적용으로 인한 무단 멤버 추가(EE 전용), 내부 응답 헤더를 통한 내부 자격 증명 노출, 그룹 마일스톤 API의 사용자 제어 키 기반 인가 우회, AI Gateway 기능 활성화 헤더의 신뢰도 낮은 소스 사용(EE 전용) 등이 포함된다.
GitLab.com은 이미 패치 버전으로 업데이트됐으며, GitLab Dedicated 테넌트 중 19.3.5-internal0 및 19.4.2-internal0 이상 버전을 운영 중인 경우에는 별도 조치가 필요 없다. 각 취약점의 세부 이슈는 패치 배포 후 90일이 지난 시점에 공개 이슈 트래커에 공개된다.