[해외보안뉴스] GitLab 개인 이슈 이메일 주소 유출 시 타인이 코드 커밋 및 CI/CD 실행 가능
· 2026-09-23 18:00
· 조회 29
· 원문 ↗
GitLab에서 이메일을 통해 이슈를 등록할 수 있도록 각 사용자에게 제공하는 비공개 이메일 주소가 단순한 연락처가 아닌 일종의 인증 자격 증명(Credential) 역할을 하고 있어 주의가 요구됩니다. 공격자가 사용자의 비공개 이메일 주소를 입수할 경우, 피해자의 명의로 패치를 전송하여 GitLab 코드베이스에 무단으로 변경 사항을 적용할 수 있습니다.
이 취약점의 영향 범위는 매우 심각합니다. 공격자는 피해자 계정이 푸시 권한을 가진 모든 브랜치(메인 브랜치인 main 포함)에 피해자의 이름으로 코드를 커밋할 수 있습니다. 더불어 피해자의 권한과 동일하게 임의의 CI/CD 파이프라인 작업을 실행할 수 있어, 조직의 빌드 및 배포 시스템까지 보안 위협에 노출될 수 있습니다. 해당 주소는 GitLab UI 내 "Email work item to this project" 버튼을 통해 확인할 수 있습니다.
이러한 위협에 대응하기 위해 사용자 및 개발팀은 이메일 이슈 생성용 주소를 비밀번호나 API 토큰 수준의 비밀 자격 증명으로 다루어야 합니다. 이메일 주소가 외부에 노출되었거나 유출이 의심될 경우 즉시 해당 주소를 재발급받고, 메인 브랜치에 대한 보호 규칙(Branch Protection) 및 코드 리뷰 승인 프로세스를 강화해야 합니다. 또한 조직 차원에서 이메일을 통한 커밋 및 이슈 생성 기능이 필요하지 않은 경우 이를 비활성화하는 것을 권장합니다.
♥ 추천 0
이메일 주소를 단순 인증 토큰처럼 다루어, 이슈 생성 권한이 코드 커밋 및 CI 파이프라인 실행 권한으로까지 확장된 전형적인 아키텍처적 보안 미스입니다.
편의성을 위해 최소 권한 원칙(Principle of Least Privilege)을 간과한 사례로, 이메일 기반 입력을 처리할 때는 GPG 커밋 서명 검증을 강제하거나 코드 반영/CI 실행 권한을 엄격히 분리했어야 합니다.
개발자 관점에서는 외부 접근 인터페이스(이메일)와 고권한 작업(Git Push/CI) 사이에 세밀한 제로 트러스트 검증 레이어가 왜 필요한지 다시 한번 보여주는 뉴스입니다.
이슈 수신용 이메일 주소가 사실상 인증 토큰 역할을 하여 MFA나 SSH 키 검증을 완전히 우회할 수 있는 매우 치명적인 공격 벡터입니다.
공격자가 이 주소를 확보할 경우 피해자의 권한을 도용해 메인 브랜치에 악성 코드를 직접 주입하고, CI/CD 파이프라인을 트리거하여 임의 코드 실행(RCE)까지 손쉽게 달성할 수 있습니다.
침투 테스트 관점에서는 OSINT나 내부 정보 유출을 통해 이메일 엔드포인트 하나만 찾아내면 즉시 권한 상승 및 공급망 공격으로 연계할 수 있는 최적의 악용 포인트입니다.
편의 기능을 통한 신원 도용 및 무단 코드 제출은 DevSecOps 파이프라인의 신뢰성을 근본적으로 훼손하는 심각한 공급망 리스크입니다. 조직 내 GitLab의 이메일 기반 제출 기능을 즉각 점검하여 비활성화하고, 서명된 커밋(GPG)과 엄격한 브랜치 보호 정책을 강제해야 합니다. 보안 통제를 우회할 수 있는 개발 편의성 기능에 대해 정책적 거버넌스를 강화하고 정기적인 자산 점검을 실시하겠습니다.