Reddit

CVE-2026-110264 GitLab Unauthenticated RCE (CVSS 10)

GitLab, 비인증 원격 코드 실행 취약점 수정

GitLab이 CVE-2026-110264를 포함한 보안 취약점을 수정한 패치 버전을 공개했습니다. 정규식 컴파일 과정의 정수 오버플로로 비인증 원격 코드 실행이 가능할 수 있으며, CVSS 3.1 점수는 10.0입니다. 취약한 자체 관리형 인스턴스는 해당 버전으로 즉시 업그레이드해야 합니다.

에디터 노트

이번 수정에서 가장 직접적인 운영 과제는 CVSS 10.0 취약점 자체만이 아니라 업그레이드 경로입니다. GitLab은 비인증 원격 코드 실행을 정규식 컴파일러의 정수 오버플로와 연결하고, 7.0부터 이어진 영향 범위와 브랜치별 수정 버전을 명시했습니다. 단일 노드는 마이그레이션 중 중단되지만 다중 노드는 절차를 갖추면 무중단 적용이 가능하다는 조건도 함께 제시합니다. Reddit에서는 정규식 처리 경로가 비인증 사용자에게 어떻게 노출되는지 묻는 질문이 나왔고, 한 댓글은 직접 접근이 아니라 검색 같은 기능을 통해 정규식 컴파일이 촉발될 수 있다고 설명합니다. 다만 패치 공지는 공격 경로나 재현 절차를 공개하지 않아 이 설명을 확인해 주지는 않습니다. 실무적으로는 영향 버전과 설치 형태에 맞춰 패치 및 마이그레이션 계획을 세워야 하며, 댓글의 피로감과 추측은 취약점의 기술적 원인을 입증하지 않습니다.

AI 요약

GitLab이 2026년 10월 21일 CE와 EE용 보안 패치 버전 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13을 공개했습니다. 가장 높은 심각도로 분류된 CVE-2026-110264는 정규식 컴파일러의 정수 오버플로 취약점입니다. 공격자가 특수하게 구성한 정규식을 보내면 특정 조건에서 인증 없이 GitLab 서버에서 임의 코드를 실행할 수 있습니다. CVSS 3.1 점수는 10.0이며, 네트워크 접근이 가능하고 공격 복잡도가 낮으며 권한이나 사용자 상호작용이 필요하지 않은 것으로 평가됐습니다. 영향받는 범위는 7.0부터 각 브랜치의 수정 버전 직전까지입니다.

패치에 포함된 보안 수정

이번 릴리스는 CVE-2026-110264 외에도 여러 취약점을 수정했습니다. OmniAuth SAML과 LDAP 자동 연결을 함께 켠 환경에서는 인증된 사용자가 기존 LDAP 계정을 탈취할 수 있는 문제가 해결됐습니다. OAuth/OIDC 검색 문서의 공유 캐시를 오염시켜 일부 인증 흐름을 외부 서버로 유도할 수 있는 취약점도 포함됩니다.

그 밖에 제한된 API 토큰으로 프로젝트의 수신 이메일 주소를 읽고 작업 항목을 만들 수 있던 문제, SAML 또는 LDAP 멤버십 잠금 우회, 내부 응답 헤더를 통한 자격 증명 노출, 비공개 프로젝트 마일스톤 정보의 무단 열람을 수정했습니다. 비공개 이슈 제목이 공개 프로젝트의 병합 요청 렌더링 캐시를 통해 노출될 수 있던 문제와 병합 요청 승인 정책 우회, 취약점 기록 삭제, AI 기능 구독 확인 우회 등도 패치 목록에 들어 있습니다. GitLab은 각 취약점의 구체적인 이슈 정보를 수정 릴리스 이후 90일이 지나면 공개한다고 안내합니다.

업그레이드 대상과 운영 영향

GitLab은 취약한 자체 관리형 설치를 가능한 한 빨리 최신 패치 버전으로 올리라고 권고합니다. GitLab.com은 이미 수정 버전을 사용하고 있습니다. GitLab Dedicated도 19.3.5-internal0 또는 19.4.2-internal0 이상이면 조치가 필요하지 않습니다. 자체 관리형 환경을 위한 공격 탐지 규칙 두 가지도 공개했지만, 본문에는 규칙의 세부 내용이 나오지 않습니다.

업그레이드에는 데이터베이스 마이그레이션이 포함됩니다. 단일 노드 설치는 마이그레이션이 끝나기 전에 GitLab을 시작할 수 없어 업그레이드 중 서비스 중단이 발생합니다. 다중 노드는 적절한 무중단 업그레이드 절차를 적용하면 중단 없이 패치를 적용할 수 있습니다. 일반 마이그레이션은 19.4.3과 19.3.6에 포함되며, 19.4.3에는 배포 후 마이그레이션도 있습니다.

Reddit 반응

  • @SHUT_DOWN_EVERYTHING — 2014년 v7까지 모든 버전에 영향을 준다니, 세상에.
  • @Leseratte10 — 정규식 컴파일러가 애초에 왜 비인증 사용자에게 접근 가능하죠? 새 이미지가 올라온 건 몇 시간 전에 봤지만 공지도 없고 저장소 변경 기록도 없어서, PHP 문제로 바쁜가 보다, GitLab은 PHP를 쓰지 않으니 별로 중요한 일이 아닐 거라고 생각했습니다. 제가 틀렸네요.
  • @T_Thriller_T — 모든 사용자가 정규식 컴파일러에 직접 접근하는 게 아니라, 일반적인 기능 중 일부가 정규식을 컴파일할 수도 있습니다. 그러니 사용자가 그 기능을 실행해 취약점을 유발하는 구조일 수 있습니다. 비인증 사용자가 어떤 기능을 볼 수 있는지는 확실하지 않지만, 어느 곳에서나 검색 기능에 정규식이 쓰일 가능성은 있습니다.
  • @SirJerryLion — 한 시간마다 또 하나의 치명적 취약점이네요. 다들 지치지 않았나요? AI가 작업을 빠르게 해줘서 다행입니다.
  • @Vas1le — 버그를 더 빨리 심어준다는 말이군요.
  • @elkond — 'Mythos 시대'라기보다 경영진이 15년 동안 보안을 비용 절감 대상으로 취급한 결과가 드러나는 것 아닐까요?
  • @Altruistic_Fox5036 — Node.js 원격 코드 실행 취약점까지 더해졌네요. 패치 화요일이 원격 코드 실행 수요일로 바뀐 것 같습니다.

원문: GitLab / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗