CISA, GitLab 정규식 결함의 실제 악용 확인…서버 수정과 침입 흔적을 함께 점검

정규식은 글자가 어떤 형태와 맞는지 검사하는 규칙입니다. 예를 들어 ‘이름이 release로 시작하는 브랜치인가’를 검사해 자동 시험을 할지 정할 수 있습니다. 이는 정상 용도를 보여 주는 가상 예시입니다.

GitLab 내부의 Ruby 프로그램은 사용자가 준 규칙을 실행용 형태로 바꾸는 컴파일을 합니다. Ruby 개발팀은 이 단계에서 조작된 규칙이 내부 메모리를 손상시키고, GitLab 서버에서 임의 코드를 실행하는 데 쓰일 수 있었다고 설명합니다. 오래 걸리는 검색을 넘어 서버 프로그램의 처리 흐름에 영향을 주는 문제입니다. Ruby 개발팀 설명

정수 넘침은 크기를 담는 계산 칸의 한계를 넘어 값이 뒤틀리는 오류입니다. 가령 세 자리 칸에 1000을 담다 000만 남는 상황에 비유할 수 있지만, 이는 원리 설명용 가상 계산이며 실제 Ruby의 자릿수나 공격 입력이 아닙니다. 컴파일에 필요한 크기를 잘못 다루면 메모리의 경계를 침범할 수 있고, 이번 결함은 그 연결이 서버 코드 실행에 이용될 수 있었던 경우입니다.

%% 규칙 입력에서 서버 코드 실행 위험까지 · GitLab·Ruby 공식 설명의 범위
flowchart TD
  A["외부에서 온 조작된 규칙"] --> B["영향받는 Ruby가 컴파일<br/>내부 메모리 손상"]
  B --> C["조건이 맞으면 서버 코드 실행<br/>서버 계정의 권한으로 피해"]

임의 코드 실행은 공격자가 고른 작업을 서버가 수행할 수 있다는 뜻입니다. 그 계정이 읽거나 바꿀 수 있는 자료가 피해 범위에 들어갈 수 있지만, 이 공지만으로 모든 서버의 관리자 권한 획득이나 고객 자료 유출이 입증된 것은 아닙니다.

GitLab은 자신이 배포하는 Ruby에 수정을 넣었습니다. Ruby 프로젝트는 10월 23일 별도로 4.0.9·3.4.12·3.3.13을 공개하며 관련 네 결함의 수정을 모두 포함했다고 밝혔습니다. 호스트 PC에 별도 설치한 Ruby만 바꾸는 것은 GitLab이 실제 사용하는 Ruby를 바꿨다는 근거가 되지 않습니다.

표는 이 결함의 최초 수정판이며 현재의 최신 권장판 목록이 아닙니다. 관리자는 지원 중인 계열의 최신 보안 패치와 배포 방식에 맞는 업그레이드 절차를 선택해야 합니다. 다른 Ruby 앱은 외부 사람이 정한 규칙을 컴파일하는지 살필 수 있습니다. Ruby 팀은 개발자가 작성한 고정 규칙만 쓰는 앱은 이 조건에 해당하지 않으며, 검색 시간 제한이나 입력 길이 제한만으로 이 결함을 막을 수 없다고 설명합니다.

패치는 앞으로 같은 결함을 이용하는 경로를 고치는 작업입니다. 그전에 공격자가 이미 서버에서 작업했는지는 접속·오류·보안 탐지 기록을 조사해야 답할 수 있습니다. GitLab은 이번 CVE의 공격 시도 탐지를 돕는 여섯 가지 탐지 항목도 공개했습니다.

CISA는 이 항목의 조치 기한을 11월 1일로 기재했습니다. 해당 지침의 법적 의무는 미국 연방 민간행정기관 대상이며, 모든 독자의 공통 유예기간을 뜻하지 않습니다. 자체 운영자는 자기 환경의 노출과 공급자 안내에 따라 우선순위를 정해야 합니다. CISA 지침 적용 범위