기술 설명
GitLab Enterprise Edition은 Duo AI 워크플로우 러너 시스템에서 부적절한 사용자 신원 확인 취약점을 포함하고 있습니다. 특정 조건에서 인증된 사용자가 특정 Duo AI 워크플로우를 다른 사용자의 신원으로 실행하도록 하여 AI 지원 작업의 의도된 인증 모델을 우회할 수 있습니다. 이 결함은 18.8부터 18.10.6까지, 18.11부터 18.11.3까지, 19.0부터 19.0.0까지의 모든 GitLab EE 버전에 영향을 줍니다. GitLab의 자체 CNA 평가에 따라 CVSS 3.1 점수 8.2 HIGH (AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N).
공격 경로
네트워크 접근 가능, 낮은 권한 필요 (인증된 사용자). 공격자가 Duo AI 워크플로우 실행을 트리거하면 러너가 사용자 신원을 잘못 확인하는 조건 하에서 작업이 다른 사용자에게 속하거나 다른 사용자의 권한으로 실행되도록 합니다. 높은 복잡성(AC:H)은 특정 트리거 조건이 필요함을 시사하지만, 변경된 범위(S:C)와 함께 높은 기밀성 및 무결성 영향(C:H/I:H)은 악용 시 테넌트 간 또는 권한 경계 간 영향을 나타냅니다.
영향받는 시스템
GitLab Enterprise Edition (EE) 버전 18.8.0부터 18.10.6까지, 18.11.0부터 18.11.3까지, 19.0.0. GitLab.com SaaS 인스턴스는 서버 측에서 패치되었습니다. 자체 관리 GitLab EE 배포는 즉시 업그레이드가 필요합니다.
완화 방안
패치된 버전으로 업그레이드: GitLab EE 18.10.7, 18.11.4 또는 19.0.1. 패치 릴리스는 2026년 5월 27일에 게시되었습니다. 즉시 업그레이드할 수 없는 조직은 Duo AI 워크플로우 사용을 검토하고, 최근 Duo AI 활동 로그에서 예기치 않은 신원 귀속을 감사하며, 패치를 적용할 때까지 Duo AI 워크플로우 기능을 임시로 제한하는 것을 고려해야 합니다.