GitLab 보안 사고: CVE-2026-97229 악용 시도

Alpine Linux의 GitLab 인스턴스가 10월 20~21일 CVE-2026-97229 악용 공격을 받음. 성공 증거는 없지만 코드 실행 가능성을 배제할 수 없어 침해된 것으로 간주하고 처음부터 재구축함 취약점은 GitLab 자체 코드가 아니라 Ruby의 정규식 엔진 Onigmo에 있음. 자체 Ruby를 사용하는 환경에서는 GitLab만 업그레이드해도 해결되지 않으며, 수정된 Ruby 버전이 필요함 외부 기록과 대조한 결과 aports 저장소, 패키지, 10월 21일 릴리스에서 변조 흔적이 발견되지 않음. 다만 검증 범위는 제한돼 있어, 인스턴스를 폐쇄한 10월 27일까지 확인을 확대하고 있음 일부 로그가 사라졌고 외부 연결 기록도 없어 공격 성공 여부를 확정할 수 없음. 성공했다면 사용자 정보, 비밀번호 해시, 2FA 비밀값, CI/CD 자격 증명과 비공개 저장소 등이 노출됐을 수 있음 모든 비밀번호를 초기화했으며, 공개 재개 후 사용자는 비밀번호를 새로 설정해야 함. 같은 비밀번호를 다른 사이트에서도 사용했다면 해당 사이트에서도 변경해야 함 취약점과 패치가 누락된 이유 CVE-2026-97229는 GitLab이 CI 설정의 정규식을 평가하는 과정에 존재하는 CVSS 10.0의 치명적 취약점으로, 근본 원인은 Ruby에 내장된 Onigmo의 버그임 GitLab은 10월 12일 수정 릴리스를 배포했지만, 수정 사항은 공식 패키지와 컨테이너 이미지에 포함하는 Ruby에 적용한 패치임 Ruby 업스트림은 10월 23일 Ruby 3.3.13, 3.4.12, 4.0.9에 수정 사항을 반영함 Alpine Linux는 10월 13일 수정 버전인 GitLab 19.3.5 대신 19.3.4로 잘못 업그레이드했고, 공격 당시에도 해당 버전을 실행하고 있었음 10월 22일 GitLab 19.3.6으로 업그레이드했지만 취약점은 남아 있었음 자체 이미지가 GitLab 공식 패키지의 패치된 Ruby 대신 일반 Ruby를 사용했기 때문임 소스 설치나 자체 컨테이너 이미지 등으로 별도 Ruby를 사용하는 운영자는 GitLab뿐 아니라 Ruby도 3.3.13, 3.4.12, 4.0.9 이상으로 업데이트해야 함 alpinelinux/gitlab 사용자는 alpinelinux/gitlab:19.3.6을 다시 내려받아야 함 10월 27일 게시된 이미지는 Ruby 3.3.13을 포함함 10월 27일 이전에 받은 19.3.6 이미지와 모든 ...