🇰🇷 한글 설명
GitLab 8.14.9 이전, 8.15.6 이전, 8.16.5 이전 버전에서 SVG 문서 형식의 이슈 첨부파일이나 사용자 아바타에 포함된 SCRIPT 요소를 통해 크로스사이트 스크립팅(XSS) 공격이 가능한 취약점입니다. 공격자가 악성 SVG 파일을 업로드하면 다른 사용자의 브라우저에서 임의의 자바스크립트 코드가 실행될 수 있습니다.
💡 쉬운 설명
GitLab에서 사진이나 파일을 업로드할 때 악의적인 코드가 숨겨진 파일을 올리면 다른 사용자의 계정 정보를 훔칠 수 있습니다. 특히 SVG 파일 형식을 이용한 공격에 취약합니다.
🇺🇸 원문 (English)
GitLab before 8.14.9, 8.15.x before 8.15.6, and 8.16.x before 8.16.5 has XSS via a SCRIPT element in an issue attachment or avatar that is an SVG document.
📍 영향받는 시스템
GitLab CE/EE 8.14.9 이전, 8.15.0-8.15.5, 8.16.0-8.16.4
⚔️ 공격 벡터
악성 SCRIPT 태그가 포함된 SVG 파일을 이슈 첨부파일 또는 사용자 아바타로 업로드
🛡️ 대응 방법
GitLab을 8.14.9, 8.15.6, 8.16.5 이상으로 즉시 업그레이드
🔧 검증 코드
설치된 GitLab 버전 확인 - 위 버전 미만이면 취약 상태이므로 즉시 패치 필요
cat /opt/gitlab/version-manifest.txt 2>/dev/null | head -1 || dpkg -l 2>/dev/null | grep -E 'gitlab-ce|gitlab-ee' | awk '{print $2, $3}'