자체 호스팅
이 태그가 달린 문서 3건
Nextcloud 내장 Collabora CODE 서버 CVE-2026-110447 악용: 영향 범위와 대응 방법
2026년 10월 14일 Collabora Online 개발자들은 Nextcloud 앱 Collabora Online - Built-in CODE Server(앱 ID richdocumentscode)의 인증되지 않은 OS 명령 주입 취약점 CVE-2026-110447을 공개했습니다. 앱의 proxy.php를 통해 웹 서버 사용자 권한으로 명령이 실행될 수 있습니다. 내장 CODE 서버가 실행 중이 아닐 때 조건이 성립하며, 이는 컨테이너 재시작, 업그레이드 또는 충돌 후에 발생할 수 있습니다. 26.4.303 이전 버전이 영향을 받으며, 26.4.303은 9월 11일에 출시되었습니다. 개발자들은 앱을 비활성화해도 문제가 방지되지 않는다고 말하며 업데이트 또는 제거를 요청했습니다. 지원이 종료된 Nextcloud 29 이하에서는 Nextcloud를 업데이트하거나 앱을 제거하십시오. 개발자들은 독립형 Collabora Online 서버, Docker 이미지, RPM/DEB 패키지, Nextcloud All-in-One은 영향을 받지 않는다고 말합니다. CVSS v4.0 점수는 9.2입니다. CISA는 10월 23일 이 취약점을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했으며 기한은 10월 26일입니다. 사용자들은 개발자 저장소에서 약 9월 10일부터 공격이 있었다고 보고했고, 언론 보도에 따르면 웹 셸이 심어졌습니다. 이 사이트의 결론: 내장 CODE 앱이 설치되어 있다면, 비활성화된 상태라도 오늘 버전을 확인하고, 업데이트 또는 제거한 뒤, 9월 10일 이후의 흔적을 점검하십시오.
GitLab CVE-2026-110264(CVSS 10.0)와 악용되는 CVE-2026-97229: 셀프 호스팅 GitLab 확인 및 업데이트 방법
2026년 10월 21일 GitLab은 Community Edition(CE)과 Enterprise Edition(EE)용 긴급 패치 버전 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13을 공개했습니다. 가장 심각한 취약점인 CVE-2026-110264(CVSS 10.0)는 특수하게 조작된 정규식을 컴파일할 때 발생하는 정수 오버플로우입니다. 특정 조건에서 인증되지 않은 사용자가 GitLab 서버에서 임의의 코드를 실행할 수 있게 할 수 있습니다. 7.0 이후 거의 모든 버전이 영향을 받습니다. 10월 29일 CISA는 자매 취약점 CVE-2026-97229(CVSS 10.0, CWE-190)를 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가했으며 기한은 11월 1일입니다. 같은 종류의 버그(CI/CD 정규식 컴파일러의 정수 오버플로우, 인증되지 않은 사용자가 도달 가능)로, GitLab은 10월 12일 19.4.2, 19.3.5, 19.2.8에서 먼저 수정했으며 영향받는 범위는 19.2.0부터 19.2.7, 19.3.0부터 19.3.4, 19.4.0부터 19.4.1뿐입니다. 아직 19.4.2, 19.3.5, 19.2.8 미만이라면 악용되는 취약점에 노출된 상태입니다. 여기서 권장하는 버전(19.5.1, 19.4.3, 19.3.6, 19.2.9)으로 업그레이드하면 CVE-2026-97229도 함께 수정됩니다. GitLab.com은 이미 패치되었으며, 셀프 호스팅 설치는 업그레이드해야 합니다. 10월 21일 릴리스는 심각도 High인 취약점 2건(CVSS 8.2와 7.5)과 기타 취약점도 수정하지만, 해당 수정은 19.3.6, 19.4.3, 19.5.1 라인에서만 제공됩니다. 근본 원인은 Ruby의 정규식 엔진(Onigmo)에 있으며, Ruby는 10월 23일 4.0.9, 3.4.12, 3.3.13을 공개했습니다. 공격자가 제어하는 문자열로 정규식을 컴파일하는 애플리케이션이 영향을 받으며, Regexp.timeout은 이 버그들로부터 보호하지 못합니다. GitLab의 공지는 CVE-2026-110264가 악용되었다고 밝히지 않았고, 10월 30일 기준 KEV에도 없습니다. Alpine Linux는 10월 20일과 21일 자사 GitLab에 CVE-2026-97229를 통한 공격 시도가 있었고, GitLab만 (19.3.6으로) 업그레이드해서는 수정에 Ruby 패치도 필요했기 때문에 취약점이 막히지 않았으며, 인스턴스를 재구축했고 공격자의 코드가 실행된 증거는 찾지 못했다고 밝혔습니다. 이 사이트의 결론: 필수 업그레이드 중간 단계를 확인한 뒤 셀프 호스팅 GitLab을 오늘 업그레이드하고, 최종적으로 19.3.6 이상에 도달하며, GitLab을 직접 빌드하거나 자체 Ruby를 쓴다면 Ruby도 3.3.13, 3.4.12 또는 4.0.9 이상인지 확인하십시오. Ruby 애플리케이션은 수정된 Ruby로 옮기고, 사용자 입력으로 정규식을 만드는 방식을 중단해야 합니다.
자체 호스팅 Git vs GitHub: 실제로 어느 쪽이 더 안전한가?
Git을 자체 호스팅한다고 '더 안전'해지지 않습니다 — 위험을 옮길 뿐입니다. 실수로 인한 공개 노출 부류는 사라지지만, 서버 패치·백업·커밋 전 시크릿 탐지가 당신에게 넘어옵니다. 그 일을 계속 해낸다면 옳은 선택이고, 방치하면 GitHub보다 나쁩니다. 본 사이트의 견해: 자체 호스팅은 보상 통제와 묶일 때만 작동합니다.