최근 몇 주 사이 GitLab에서 나온 정규식 관련 CVE만 최소 두 번째임. 해당 엔드포인트에 인증 없이 접근할 수 있다는 건 끔찍하지만, 악용 시도를 로그에서 확인하는 방법을 안내해 주는 건 다행임.
내가 파악한 바로는 GitLab이 악성 org-mode 파일을 렌더링하도록 해야 함. 인증하고 파일을 업로드하지 않고도 그렇게 할 방법은 떠오르지 않는데, 내가 놓친 게 있을까?
Perl 5.8 이하에서는 정규식 엔진이 C 함수 수준에서 재귀 호출을 했기 때문에, 큰 문자열을 넘기면 스택 오버플로를 일으킬 수 있었음. 이번에도 비슷한 문제인가?
GitLab이 자체 정규식 컴파일러까지 갖고 있는 이유가 궁금함. 아니면 하위 라이브러리나 프로그래밍 언어의 취약점인가?
GitLab이 Ruby의 Onigmo 정규식 엔진을 포크한 자체 사본을 함께 배포하는 것으로 보임.
이 속도를 따라가려면 이제 AI 에이전트로 패치와 업그레이드를 적용하는 게 필수임.
그런 식으로 관리하는 시스템의 보안과 안정성이 괜찮을지 모르겠음.
여러 서버를 패치한다면 gitlab-rake gitlab:env:info 로 노드별 정확한 버전을 확인할 수 있음. omnibus 패키지 이름으로 추측하는 것보다 빠름.
버그일까, 아니면 너무 일찍 확인한 걸까? 업데이트 후에도 팝업에 “현재 버전은 19.5.1입니다! GitLab 설치를 즉시 업그레이드할 것을 강력히 권장합니다.”라고 표시됨. 19.5.1이 취약점을 수정한 최신 버전이어야 하는데도 이런 상태임.
업데이트 확인 기능은 원래 잘 작동하지 않는 편임. GitLab 대시보드에서 업그레이드 경고가 사라지기까지 몇 시간씩 걸림.
나도 같은 증상인데, 업데이트를 꽤 일찍 하기는 했음.
사상 최악의 보안 뉴스가 쏟아지는 하루가 되어가는 듯함. 일부 취약점 발견에 AI가 기여한 역할을 보면, IT 보안 암흑기의 시작인지 생각하게 됨.
사실 이런 흐름은 몇 달째 이어지고 있고, 끝도 보이지 않음.
오히려 황금기의 시작이라고 봄. 모든 기업이 전체 소프트웨어를 대상으로 자동화된 에이전트 기반 보안 검사에 투자하게 될 것임. 소프트웨어와 인프라는 그 어느 때보다 안전해질 것임.
자가 호스팅 서버가 걱정됨. Tailscale이 완전히 안전하기만을 바라고 있고, 외부로 나가는 트래픽도 강하게 필터링하고 있음. 이것마저 뚫리면 내 홈랩은 끝장임.
다들 조언해 줄 만한 게 있을까? 늘 온라인에 붙어 사는 나조차 이 모든 일을 감당하기 벅참.
나도 불안에 시달리고 있음. 개인 이메일까지 자가 호스팅하고 있어서, 결말이 좋지 않을 것 같음.
최근 내 서비스를 전부 Tailscale 뒤로 옮겼음. 이 선택이 화근이 되지 않기를 바람. 그래도 인터넷에 그대로 노출해 두는 것보다는 훨씬 나음!
이제 오래된 C++ 서비스들도 완전히 다르게 보임.