기술 설명
GitLab Enterprise Edition은 Duo AI 워크플로우 실행 시스템에서 부적절한 사용자 ID 해석 취약점을 포함하고 있습니다. 특정 조건에서 인증된 사용자는 특정 Duo AI 워크플로우가 다른 사용자의 ID로 실행되도록 유발할 수 있으며, AI 지원 작업에 대한 의도된 권한 부여 모델을 우회합니다. 이 결함은 18.8부터 18.10.6, 18.11부터 18.11.3, 19.0부터 19.0.0까지의 모든 GitLab EE 버전에 영향을 미칩니다. GitLab의 자체 CNA 평가에 따른 CVSS 3.1 점수 8.2 HIGH (AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N)입니다.
공격 경로
네트워크 접근 가능, 낮은 권한 필요(인증된 사용자). 공격자는 Duo AI 워크플로우 실행을 트리거하여 실행 프로그램이 사용자 ID를 잘못 해석하는 조건을 만들어, 작업이 다른 사용자의 권한으로 귀속되거나 실행되도록 합니다. 높은 복잡성(AC:H)은 특정 트리거 조건이 필요함을 시사하지만, 높은 기밀성 및 무결성 영향(C:H/I:H)과 변경된 범위(S:C)는 악용 시 테넌트 간 또는 권한 경계 간 영향을 나타냅니다.
영향받는 시스템
GitLab Enterprise Edition (EE) 버전 18.8.0부터 18.10.6, 18.11.0부터 18.11.3, 19.0.0. GitLab.com SaaS 인스턴스는 서버 측에서 패치되었습니다. 자체 관리형 GitLab EE 배포는 즉시 업그레이드가 필요합니다.
완화 방안
패치된 버전으로 업그레이드: GitLab EE 18.10.7, 18.11.4 또는 19.0.1. 패치 릴리스는 2026년 5월 27일에 발표되었습니다. 즉시 업그레이드할 수 없는 조직은 Duo AI 워크플로우 사용을 검토하고, 최근 Duo AI 활동 로그에서 예상치 못한 ID 귀속을 감사하며, 패치를 적용할 때까지 Duo AI 워크플로우 기능을 임시로 제한하는 것을 고려해야 합니다.