래피드7, 깃랩 '10.0 결함'을 실전 제품 데모로…실적 발표 3주 전
248자짜리 정규식 하나면 패치하지 않은 자체 관리형 깃랩 서버에서 명령을 실행할 수 있다. 래피드7은 깃랩의 10월 12일 패치가 나온 하루 뒤 공격 코드(익스플로잇) 재현에 성공했고, 같은 날 유료 고객용 탐지 기능을 배포했다. 10월 2일 출범한 '래피드7 인텔리전스' 유닛의 첫 공개 가동 사례로 보인다.
Vincent Jiang · 4 min read
검증망을 통과해 버린 정규식
깃랩−5.70% — 깃랩, down 5.70 percent today은 10월 12일 CVE-2026-97229에 대해 월간 정기 배포 일정과 별도로 나온 긴급 보안 패치(아웃오브밴드)를 배포했다. 정수 오버플로 결함으로, 깃랩이 매긴 위험 점수는 CVSS 심각도 척도의 만점인 10.0이다 12. 결함은 자체 관리형 커뮤니티·엔터프라이즈 에디션 전반에서 소프트웨어를 빌드하고 배포하는 파이프라인인 CI/CD 구성의 정규식 컴파일러에 있다. 이날 고쳐진 취약점은 모두 24건이었고, 이 결함은 'joaxcar'라는 이름으로 활동하는 연구자가 버그바운티 플랫폼 해커원(HackerOne)에 제보하면서 깃랩에 알려졌다 23.
하루 뒤 래피드7−3.59% — 래피드7, down 3.59 percent today은 주소 공간 무작위화(ASLR)를 켠 상태에서 패치되지 않은 공식 19.4.1 커뮤니티 에디션 이미지로 공격 체인 전체를 재현했다고 밝혔다. 같은 입력값은 패치가 적용된 19.4.2에서는 통하지 않았다 1. 침투 경로는 두 단계다. 파이프라인 파일 .gitlab-ci.yml에 심어 둔 조작된 정규식이 깃랩의 검증을 통과한 뒤 UTF-8 문자가 포함된 저장소 경로에 대해 다시 컴파일되고, 이 순간 루비(Ruby)의 정규식 엔진 온이그모(Onigmo)에서 정수 오버플로가 일어나 공격자가 프로세스 제어권을 넘겨받는다.
패치에서 작동하는 익스플로잇까지 24시간
그러면 운영체제 명령이 git 사용자, 곧 깃랩 애플리케이션이 구동되는 서비스 계정 권한으로 실행된다 1. 공개된 개념 증명(PoC)에서는 248자 입력이 2GB가 넘는 엔진 코드로 확장돼 system() 함수에까지 도달한다 4. 깃랩은 이 결함을 인증 절차가 전혀 필요 없는 것으로 평가했다. 다만 래피드7의 재현에서는 그 구성 파일을 먼저 심을 방법이 필요했는데, 누구나 가입해 공개 프로젝트를 열 수 있는 인스턴스에서는 이 장벽이 사라진다 1.
자체 관리형 서버에 담긴 소스코드와 클라우드 자격 증명
10.0짜리 결함이 나오면 공격자들이 단숨에 몰려드는 이유는 그 서버 뒤에 있는 것들 때문이다. 조직의 소스코드와 빌드 파이프라인, 그리고 그 파이프라인이 클라우드 계정에 접근할 때 쓰는 자격 증명까지 있다고 아이카운터(iCounter) 글로벌 리서치 총괄 로만 Y. 산니코프는 말했다 5. 깃랩은 포춘 100 기업 절반 이상을 고객으로 두고 있다 3.
깃랩이 두 달 새 최대 심각도 결함을 낸 것은 이번이 두 번째다. 지난 9월의 경로 순회(패스 트래버설) 버그 CVE-2026-85706은 깃랩이 패치한 지 하루 만에 미국 사이버보안 기관인 CISA가 관리하는 악용 취약점 카탈로그에 등재됐고, watchTowr 연구진은 이미 정찰 시도를 기록하고 있었다 36. 산니코프는 "팀들은 취약점 공개부터 악용까지의 시차가 몇 주가 아니라 며칠이라고 가정해야 한다"고 말했다 5. 10월 13일 기준 이번 결함이 악용된 사례는 확인되지 않았다 1.
당일 탐지 기능 투입, 신설 유닛의 첫 실전 가동
비즈니스 관점에서 주목할 대목은 타이밍이다. 취약점 연구 결과를 유료 제품으로 곧바로 이어 붙이기 위해 10월 2일 출범한 래피드7 인텔리전스는 이번 결함을 잡아내는 인증 기반(authenticated) 탐지 기능을 10월 13일 콘텐츠 업데이트 하나에 실어 익스포저 커맨드(Exposure Command)와 취약성 관리(Vulnerability Management), 넥스포즈(Nexpose) 3개 제품에 동시 탑재했다 17. 유료 고객 입장에서 이는 출범 당시 내건 구상이 작동하는 코드로 구현된 셈이다. 취약점이 공개되고 하루 만에 연구 결과가 제품에 반영된 것이다.
나스닥 상장 모기업인 래피드7으로서는 이런 시연이 절실하다. 6월 마감 분기 매출이 전년 동기 대비 1.5% 감소했다. 2개 분기 연속 감소세다. JP모건은 9월 이 종목의 투자의견을 '언더웨이트'로 하향하고 목표주가를 12달러로 제시했다 89. 3분기 실적은 11월 4일 공개된다 8.
래피드7, 13% 성장에서 2개 분기 연속 역성장으로
Data
| 전년 동기 대비 매출 증가율 | |
|---|---|
| 23년 3분기 | 13.1% |
| 23년 4분기 | 11.3% |
| 24년 1분기 | 12% |
| 24년 2분기 | 9.2% |
| 24년 3분기 | 8% |
| 24년 4분기 | 5.4% |
| 25년 1분기 | 2.5% |
| 25년 2분기 | 3% |
| 25년 3분기 | 1.5% |
| 25년 4분기 | 0.5% |
| 26년 1분기 | -0.3% |
| 26년 2분기 | -1.5% |
깃랩은 21% 성장, 래피드7은 역성장
깃랩(나스닥: GTLB)은 성장과 위험 노출을 동시에 안고 있다. 7월 마감 분기 매출은 21.3% 늘어 2억8630만 달러를 기록했고, 같은 분기 순손실은 3680만 달러였다10. 깃랩닷컴(GitLab.com)은 이미 패치를 마쳤고 깃랩이 직접 운영하는 단일 테넌트 호스팅 서비스인 디디케이티드(Dedicated) 고객은 손댈 것이 없다. 그래서 직접 피해는 고객의 서버에 떨어지고 깃랩의 장부에는 남지 않는다1.
깃랩, 차트에 담긴 12개 분기 모두 20% 넘는 성장
Data
| 매출(100만 달러) | |
|---|---|
| 23년 3분기 | $149.67M |
| 23년 4분기 | $163.78M |
| 24년 1분기 | $169.19M |
| 24년 2분기 | $182.58M |
| 24년 3분기 | $196.05M |
| 24년 4분기 | $211.43M |
| 25년 1분기 | $214.51M |
| 25년 2분기 | $235.96M |
| 25년 3분기 | $244.35M |
| 25년 4분기 | $260.4M |
| 26년 1분기 | $264.16M |
| 26년 2분기 | $286.25M |
지금 당장 업그레이드… 이후 주목할 두 날짜
패치가 적용되는 버전은 19.2.8, 19.3.5, 19.4.2로 특정돼 있다. 다음 월간 정기 업데이트를 기다릴 것이 아니라 지금 바로 설치해야 한다1. 업그레이드가 당장 어려운 곳이라면 깃랩은 공개 프로젝트에 대한 익명 접근을 제한하고 신뢰할 수 없는 사용자의 프로젝트 생성을 막으라고 권고했다1. 취약점 공개 이후에도 패치 없이 방치된 인스턴스가 있다면, 산니코프의 조언은 CI/CD 시크릿과 토큰을 교체하고 공개 시점 이후의 러너·파이프라인 활동을 점검하는 것이다5.
이번 사태의 결말은 두 가지 신호가 알려준다. 하나는 CVE-2026-97229가 지난 9월 취약점의 뒤를 이어 CISA의 악용 취약점 카탈로그에 오르는지 여부다36. 다른 하나는 11월 4일이다. 이날 래피드7은 3분기 실적을 발표하면서 인텔리전스 유닛의 성과가 유료 제품 판매에 잡히고 있는지 밝혀야 한다8. 그 전까지 위험은 잊힌 채 굴러가는 자체 관리형 인스턴스를 운영하는 누군가에게 남아 있다.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
