🇰🇷 한글 설명
GitLab의 impersonate 기능에서 발견된 권한 상승 취약점으로, 인증된 사용자가 다른 사용자로 로그인할 수 있습니다. 이를 통해 무단 접근 및 데이터 탈취가 가능합니다.
💡 쉬운 설명
GitLab 로그인한 사용자가 다른 사람의 계정을 마음대로 빌려 쓸 수 있는 버그입니다. 이 기능이 완전히 보호되지 않아 누구나 다른 사용자 권한으로 시스템에 접근할 수 있습니다.
🇺🇸 원문 (English)
The impersonate feature in Gitlab 8.7.0, 8.6.0 through 8.6.7, 8.5.0 through 8.5.11, 8.4.0 through 8.4.9, 8.3.0 through 8.3.8, and 8.2.0 through 8.2.4 allows remote authenticated users to "log in" as any other user via unspecified vectors.
📍 영향받는 시스템
GitLab 8.2.0-8.2.4, 8.3.0-8.3.8, 8.4.0-8.4.9, 8.5.0-8.5.11, 8.6.0-8.6.7, 8.7.0
⚔️ 공격 벡터
인증된 사용자가 impersonate API 또는 웹 인터페이스를 통해 다른 사용자로 로그인
🛡️ 대응 방법
GitLab을 8.2.5, 8.3.9, 8.4.10, 8.5.12, 8.6.8, 8.7.1 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 영향받는 범위(8.2-8.7)에 있으면 취약하고, 패치 버전 이상이면 안전합니다.
curl -s http://localhost/api/v4/version 2>/dev/null | grep -o '"version":"[^"]*"'