정규식 재컴파일 과정에서 발생한 정수 오버플로

Rapid7 분석에 따르면 취약점은 악성 .gitlab-ci.yml 파일의 정규식이 US-ASCII로 검증을 통과한 뒤 UTF-8 저장소 경로 평가 시점에 Ruby Onigmo 엔진이 재컴파일되면서 발생합니다. 이 과정에서 프로그램 크기 계산에 정수 오버플로가 일어나 제어 흐름 무결성이 상실됩니다. 결국 공격자가 git 사용자 권한으로 운영체제 명령을 실행할 수 있습니다.

무패치 환경에서의 독립 재현

출처: 조사 출처

Rapid7은 패치되지 않은 공식 GitLab 19.4.1 CE 이미지에서 임의 코드 실행을 독립적으로 재현하는 데 성공했습니다. 같은 재현은 패치가 적용된 19.4.2 버전에서는 이루어지지 않았습니다. 취약점의 실재와 패치의 효과가 동시에 확인된 셈입니다.

"완전 무인증" 표현과 실제 공격 전제의 간극

CVSS 벡터는 완전히 미인증된 악용을 가리키지만, Rapid7은 재현 과정에서 공격자가 악성 CI/CD 설정을 먼저 심을 수 있는 수단이 필요하다고 지적했습니다. 다만 신규 사용자 자가 가입과 프로젝트 생성이 허용된 인스턴스에서는 이 제약이 해제됩니다. 현재까지 실제 악용 사례는 확인되지 않았습니다.

기술 상세 공개는 90일 뒤로 연기

GitLab 이슈 트래커 #630686은 회사 정책상 현재 비공개 상태로 유지되고 있습니다. 해당 문서는 패치 배포 90일 후에 공개될 예정이며, 취약점의 세부 기술 자료는 그 시점에 추가로 확인할 수 있습니다. NVD를 포함한 공식 취약점 데이터베이스에도 동일 결함이 등재되어 있습니다.

자가 가입이 열려 있는 기관 인스턴스는 가입 정책 재점검과 19.4.2 이상 버전 업그레이드가 우선 과제입니다. 실제 공격 표면이 CVSS 점수가 암시하는 범위와 얼마나 일치하는지는 향후 공개될 기술 자료와 악용 관측을 통해 확인할 지점으로 남아 있습니다. 취약점의 존재와 CVSS 10.0 심각도 평가는 대체로 사실로 확인됩니다.