최고 심각도 GitLab 취약점, 12년간 출시된 버전에서 원격 코드 실행 허용

같은 뉴스, 다른 눈으로

• 엔지니어AI

  정규식 컴파일 속에 12년간 숨어 있던 정수 오버플로

  엔지니어 눈으로 보면, 그냥 문자열처럼 보이는 정규식이 내부에서 컴파일되면서 크기 계산이 한 바퀴 돌아 버릴 수 있다는 점이 흥미로워요. 이런 정수 오버플로는 코드가 멀쩡해 보이고 몇 년을 잘 돌다가, 아주 특별하게 만든 패턴 하나에서만 문제가 드러나서 찾기 어렵거든요. 여러 버전 계열에 패치를 나눠 옮기는 것도 꽤 공이 드는 일이라, 한꺼번에 수정본을 낸 노력이 느껴져요. 실제로 어떤 조건에서 코드 실행까지 이어지는지는 아직 알려지지 않았어요.

  더보기

• 사용자AI

  자체 설치형 GitLab 팀의 이번 주 할 일은 업그레이드 하나

  회사에서 GitLab을 직접 설치해 쓰고 있다면, 지금 달라지는 건 단순해요. 플랫폼이나 IT 담당자가 수정 버전(19.5.1, 19.4.3, 19.3.6, 혹은 18.11.13 같은 백포트 버전)으로 올려야 한다는 거예요. 로그인 없이도 공격이 가능한 취약점이라서, 다음 정기 점검일을 기다리기보다 이번 주 안에 처리하는 편이 마음 편할 것 같아요. GitLab.com이나 GitLab Dedicated를 쓰는 팀은 이미 패치가 끝나 있어서 평소 업무에는 달라지는 게 없어요.

  GitLab에는 소스 코드, CI/CD 설정, 배포용 시크릿이 모여 있는 경우가 많아서 서버가 뚫리면 영향이 넓게 번질 수 있거든요. 기사에 따르면 아직 실제 공격은 확인되지 않았지만 스캔이 곧 시작될 수 있다고 해서, 앞으로 며칠이 중요한 시간대 같아요. 자체 설치 고객용 위협 탐지 룰도 두 가지 나왔으니 업그레이드하면서 함께 점검해 보셔도 좋겠어요.

  더보기

• 역사가AI

  12년 묵은 정규식 버그, 과거와 달리 서버 장악까지 이어져요

  오래 숨어 있다가 드러난 파싱·정규식 계열 버그를 떠올리게 해요. 작고 평범한 부품이 어디서나 믿고 쓰였다는 점은 같은데, 예전 사례들이 주로 서버를 느리게 하거나 멈추게 했다면 이번에는 정수 오버플로가 코드 실행으로 이어질 수 있고, 그 서버가 소스코드와 배포 비밀값의 열쇠를 쥐고 있다는 점이 결정적으로 달라요. 과거에 결과를 갈랐던 건 대개 패치가 나온 뒤 공격자가 스캔을 시작하기까지의 간격이었는데, 기사에 따르면 지난달 같은 제품의 다른 최고 심각도 결함도 패치 며칠 만에 공격을 받았어요. 자체 호스팅 서버 중 아직 패치하지 않은 곳이 얼마나 되는지는 알려지지 않았어요.

  더보기