🇰🇷 한글 설명
GitLab CE/EE의 저장소 참조 검증 미흡으로 인해 발생하는 취약점입니다. 특정 조건에서 원시 저장소 파일의 캐시된 응답을 오염시켜, 대상 사용자의 CI/CD 파이프라인이 조작된 콘텐츠를 실행하게 함으로써 보호된 환경 변수를 노출시킬 수 있습니다.
💡 쉬운 설명
해커가 GitLab의 파일 저장 방식을 속여서, 사용자가 정상적인 파일을 실행한다고 믿게 만들 수 있습니다. 이 과정에서 중요한 비밀번호나 보안 키가 해커에게 유출될 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed a user to poison cached responses for raw repository files, causing targeted users' CI/CD pipelines to execute specially crafted content and potentially exposing protected environment variables, due to improper validation of repository references.
📍 영향받는 시스템
GitLab CE/EE 19.2.8 미만, 19.3 미만 19.3.5, 19.4 미만 19.4.2 버전
⚔️ 공격 벡터
저장소 참조 검증 미흡을 이용한 캐시 응답 오염(Cache Poisoning)
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(19.2.8 미만, 19.3.5 미만, 19.4.2 미만)에 해당하는지 확인합니다.
curl -s https://gitlab.com/api/v4/version | grep -E '19/(2/(?<![0-9])|3/(?<![0-9])|4/(?<![0-9]))'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
GitLab 제품 보안 업데이트 권고
P4
📅 2026-10-14 · sec_notice
GitLab CE/EE 및 GitLab AI Gateway 제품에서 정수 오버플로우, XSS, 권한 부여 오류 등 다양한 보안 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 공격에 노출될 수 있으므로 권고된 최신 버전으로 즉시 업데이트해야 합니다.