공통 취약점 및 노출 ID(CVE ID)는 공개적으로 알려진 소프트웨어 취약점에 부여되는 고유 식별자입니다. GitLab은 CVE 번호 부여 기관(CNA)이며, 따라서 GitLab.com에 호스팅된 프로젝트의 취약점에 CVE 식별자를 부여할 수 있습니다.

공개 프로젝트에서는 CVE 식별자를 요청하여 보안 이슈를 사용자에게 알릴 수 있습니다. 예를 들어 GitLab 의존성 스캐닝 도구는 프로젝트가 취약한 버전의 의존성을 사용하는 경우 이를 탐지할 수 있습니다.

일반적인 취약점 워크플로는 다음과 같습니다.

1. 취약점에 대한 CVE를 요청합니다.
2. 릴리스 노트에서 부여된 CVE 식별자를 참조합니다.
3. 수정 사항이 릴리스된 뒤 취약점의 세부 정보를 공개합니다.

CVE ID 요청 제출#

사전 요구 사항:

• 프로젝트에 대한 Maintainer 또는 Owner 권한.
• 프로젝트가 GitLab.com에 호스팅되어 있어야 합니다.
• 프로젝트가 공개여야 합니다.
• 취약점 이슈가 기밀이어야 합니다.

CVE ID 요청을 제출하려면:

1. 취약점 이슈로 이동하여 CVE ID 요청 만들기를 선택합니다. GitLab CVE 프로젝트의 새 이슈 페이지가 열립니다.

2. 제목 상자에 취약점에 대한 간략한 설명을 입력합니다.

3. 설명 상자에 다음 세부 정보를 입력합니다.

   • 취약점에 대한 자세한 설명
   • 프로젝트의 공급업체와 이름
   • 영향을 받는 버전
   • 수정된 버전
   • 취약점 클래스(CWE 식별자)
   • CVSS v3 벡터

GitLab은 다음과 같은 경우 CVE ID 요청 이슈를 업데이트합니다.

• 제출 내용에 CVE가 부여된 경우.
• CVE가 공개된 경우.
• CVE가 공개되었음을 MITRE에 알린 경우.
• MITRE가 NVD 피드에 CVE를 추가한 경우.

CVE 할당#

CVE 식별자가 부여된 뒤에는 필요에 따라 참조할 수 있습니다. CVE ID 요청에서 제출한 취약점의 세부 정보는 사용자가 정한 일정에 따라 공개됩니다.