Lobsters

GitLab warns of max severity code execution vulnerability

GitLab, 정규식 컴파일러의 최고 심각도 코드 실행 취약점 경고

GitLab CI/CD 정규식 컴파일러의 정수 오버플로 취약점(CVE-2026-97229)으로 인증되지 않은 공격자가 서버에서 코드를 실행할 수 있습니다. GitLab은 영향을 받는 자체 관리형 설치에 즉시 패치를 권고했습니다.

에디터 노트

이 취약점에서 눈여겨볼 지점은 파이프라인 설정에 들어가는 정규식 처리만으로 인증되지 않은 원격 코드 실행이 가능했다는 GitLab의 설명입니다. 자체 관리형 설치는 영향을 받는 버전 범위에 해당하면 업그레이드가 직접적인 조치입니다. 반면 공지에 공격 조건이나 정규식 컴파일러의 구현 세부 사항은 나오지 않아 실제 악용 경로와 범위는 여기서 더 구체화할 수 없습니다. Lobsters 댓글은 CI 설정을 프로그래밍 가능한 입력으로 취급할 때 생기는 위험을 짚고, 한 댓글은 자체 정규식 컴파일러인지 질문합니다. 이는 댓글의 문제 제기이며 확인된 구현 정보는 아닙니다. 현재 자료가 뒷받침하는 판단은 정규식 검증의 결함이 서버 코드 실행으로 이어졌고 GitLab이 패치 버전을 배포했다는 데까지입니다.

AI 요약

GitLab이 CI/CD 파이프라인 설정의 정규식을 처리하는 컴파일러에서 원격 코드 실행 취약점 CVE-2026-97229를 수정했습니다. 회사의 보안 공지에 따르면 정수 오버플로와 불충분한 정규식 검증이 원인이며, 특정 조건에서 인증되지 않은 사용자가 조작한 정규식을 CI/CD 설정에 넣어 GitLab 서버에서 임의 코드를 실행할 수 있었습니다. 취약점은 보안 연구자 joaxcar가 발견해 GitLab HackerOne 버그 바운티 프로그램에 신고했습니다.

영향받는 버전과 조치

GitLab Community Edition(CE)과 Enterprise Edition(EE)에서 19.2.8 이전, 19.3.4 이전, 19.4.2 이전 버전이 영향을 받습니다. GitLab은 자체 관리형 설치를 해당 버전으로 즉시 업그레이드하라고 권고했습니다. GitLab.com은 이미 패치된 버전을 실행 중이며 GitLab Dedicated 고객은 별도 조치가 필요하지 않습니다.

Lobsters 반응

  • @jaculabilis — 제목을 읽자마자 "CI 안에 있는 취약점이겠네"라고 생각했습니다.
    • @fanf — 정규식 컴파일러의 정수 오버플로가 원격 코드 실행으로 이어진다니 묘하게 흥미롭네요. 하지만 아직 세부 정보는 없는 것 같습니다. 어떤 정규식 컴파일러일까요? 직접 만든 컴파일러를 쓰는 건 아니겠죠?
    • @addison — 지금이 애너킨과 파드메 밈을 올리기에 딱 맞는 순간이네요.
    • @bryce — CI는 까다롭습니다. 기본적으로 원격 코드 실행을 위한 기계나 마찬가지입니다. 작업 실행 시간을 줄이려고 여러 구현체가 CI 자체를 프로그래밍 가능하게 만드는데, 보통 YAML로 표현하는 어설픈 언어를 씁니다.

원문: BleepingComputer / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗