🇰🇷 한글 설명
GitLab 9.4.x (9.4.2 이전)은 LDAP SSL 인증서 검증 기능을 지원하지 않습니다. 9.4 릴리즈 공지에는 verify_certificates 옵션이 언급되었으나 실제 코드가 병합되지 않았으며, omniauth-ldap 라이브러리의 검증 메커니즘이 작동하지 않아 중간자 공격 위험이 있습니다.
💡 쉬운 설명
GitLab이 회사 내부 계정 서버(LDAP)와 연결할 때 상대방이 진짜 서버인지 확인하지 않습니다. 해커가 이를 악용해 사용자 로그인 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
GitLab 9.4.x before 9.4.2 does not support LDAP SSL certificate verification, but a verify_certificates LDAP option was mentioned in the 9.4 release announcement. This issue occurred because code was not merged. This is related to use of the omniauth-ldap library and the gitlab_omniauth-ldap gem.
📍 영향받는 시스템
GitLab 9.4.x (9.4.2 미만)
⚔️ 공격 벡터
네트워크 공격자가 LDAP 연결을 가로채(MITM) 인증서 검증 부재를 악용해 사용자 인증정보 탈취
🛡️ 대응 방법
GitLab을 9.4.2 이상으로 업그레이드 후 LDAP SSL 인증서 검증 활성화
🔧 검증 코드
설치된 GitLab 버전이 9.4.2 이상인지 확인하며, 9.4.0~9.4.1이면 취약합니다.
dpkg -l 2>/dev/null | grep gitlab || rpm -qa 2>/dev/null | grep gitlab || curl -s http://localhost:8080/api/v4/version 2>/dev/null | grep -oP '"version":"[^"]*"'