GitLab, 인증 없이 서버 코드 실행이 가능한 정규식 정수 오버플로 포함 긴급 패치 배포

CVSS 10.0이 헤드라인에 없다는데 본문 보면 인증 없는 사용자가 서버에서 임의 코드 실행을 할 수 있다고 적혀 있음. 그러니까 10점이 맞는 거임.

10점이 과장 아니냐는 말도 있던데 이건 원격 코드 실행이라 과장 아님.

fleet 패치할 때 gitlab-rake gitlab:env:info 돌리면 노드별 정확한 버전이 나와서 패키지 이름 보고 추측하는 것보다 빠름.

펄 5.8 이전 정규식 엔진처럼 C 함수 재귀 때문에 스택 오버플로 나는 구조인지 궁금함. 근데 GitLab은 왜 자체 정규식 컴파일러를 갖고 있는지 모르겠음.

GitLab이 Ruby Onigmo 정규식 엔진을 포크해서 쓰는 걸로 보임.

해커원 제보자 덕에 찾은 버그인데 이 정도 심각한 게 오늘 가장 큰 보안 이슈가 아니라는 게 더 무서움.

패치 버전 깔았는데도 대시보드 팝업이 아직 19.5.1 업데이트하라고 뜸. 원래 업데이트 체커가 몇 시간씩 늦게 바뀜.

셀프호스팅 서버가 걱정임. 테일스케일 뒤에 두고 이그레스도 필터링해놨는데 불안하더라.

나도 다 테일스케일 뒤로 옮겼는데 오래된 C++ 서비스들을 다시 보게 됨.

버그가 GitLab 쪽인지 Ruby 쪽인지 리포트랑 패치만 봐선 모르겠음.

org-mode 파일을 렌더링하게 하려면 결국 인증하고 업로드해야 하는 거 아님? 그럼 인증 없이 된다는 게 좀 이상함.

AI 에이전트로 패치 자동화하는 게 이제 필수가 된 듯한데 시스템이 불안정해질까 걱정임.

이건 C로 짠 인터프리터 버그라서 최신 언어에서는 안 생기는 종류임. 과거 유물에 가까움.

같은 날 musl libc에도 정규식 컴파일러 정수 오버플로 CVE가 올라왔는데 같은 리서치에서 나온 건지 궁금함.

GitLab 패치를 몇 달째 격주로 하고 있음.