애플리케이션 보안 기업 Aikido는 GitLab의 Email work item to this project 기능에 사용되는 이메일 주소가 README 파일, 기여 가이드, 공개 지원 페이지에 표시되는 경우가 있다고 밝혔습니다. 이러한 주소에는 개발자 계정과 연결된 장기 유효 토큰이 포함되어 있어, 이를 공개하는 행위는 일반적인 버그 신고 접수 수단을 게시하는 것보다 자격 증명을 노출하는 행위에 가깝습니다.
이 기능을 사용하면 누구나 해당 주소로 이메일을 보내 GitLab 프로젝트에 이슈나 작업을 생성할 수 있습니다. 그러나 Aikido가 실시한 테스트에서 공격자는 주소의 -issue 접미사를 -merge-request로 변경해도 GitLab이 이메일을 수락하고 프로젝트에 병합 요청을 생성한다는 사실이 확인됐습니다.
실제로 어떤 일이 발생할 수 있나?
영향 범위는 토큰과 연결된 계정의 권한에 따라 달라집니다. 발생 가능한 결과로는 코드 변경 삽입, CI/CD 작업 실행, 비공개 저장소 접근, CI/CD 변수에 저장된 비밀 정보 추출, 비공개 이슈 열람 등이 있습니다. 오픈 소스 프로젝트에서는 노출된 주소가 다수의 사용자가 의존하는 프로젝트에 변경 사항을 삽입하는 데 악용될 경우 공급망 위험으로 이어질 수 있습니다.
Aikido 연구진은 어느 날 오후 동안 공개 문서에 게시된 유효한 주소 약 12개를 발견했으며, 그중 일부는 널리 사용되는 오픈 소스 프로젝트에 속한다고 밝혔습니다. 공격자는 토큰 소유자의 이메일 주소를 사칭할 필요가 없습니다. GitLab은 해당 이메일을 토큰 소유자가 보낸 것처럼 처리하며, 테스트에서는 IP 주소 제한도 우회되는 것으로 나타났습니다.
악용의 한계와 관리자 책임
주소가 노출됐다고 해서 계정 권한을 초과할 수 있는 것은 아닙니다. 사용자의 권한은 여전히 핵심적인 제약 조건입니다. 또한 공격자는 프로젝트 경로와 식별자를 알아야 합니다. 공개 프로젝트에서는 이 정보가 제공되지만, 비공개 프로젝트를 표적으로 삼으려면 경로가 유출되어야 하며, 식별자를 무차별 대입으로 추측할 수 있더라도 마찬가지입니다.
GitLab 자체 문서도 이러한 주소를 공유하지 말라고 경고하며, 해당 주소가 관련 사용자에게 생성된 비공개 주소라고 설명합니다. 또한 이 주소를 아는 사람은 소유자인 것처럼 이슈나 병합 요청을 생성할 수 있다고 명시합니다. 플랫폼은 유출이 의심되는 즉시 토큰을 재설정할 것을 권고합니다.
프로젝트에 무엇을 의미하나?
Aikido는 5월에 HackerOne을 통해 이 문제를 GitLab에 신고했지만, 해당 신고는 의도된 동작이라는 이유로 종료됐습니다. 두 번째 신고가 이뤄진 6월 이후 GitLab은 병합 요청을 생성할 수 있다는 내용을 인터페이스에 추가하고, 토큰 데이터에 대한 접근과 관련된 부정확한 문구를 삭제했으며, 이메일을 통한 메시지 수신이 IP 제한을 우회한다는 점을 문서화했습니다.
가장 중요한 실무적 조치는 프로젝트 관리자에게 달려 있습니다. 공개 문서에서 이러한 주소를 삭제하고, 이전에 공개된 프로젝트의 토큰을 재설정해야 합니다. 남은 쟁점은 GitLab이 향후 발신자 주소와 토큰 소유자의 이메일 주소를 일치시키는 방식을 추가 방어 계층으로 도입할지 여부이며, Aikido는 플랫폼이 현재 이 방안을 검토하고 있다고 밝혔습니다.