🇰🇷 한글 설명
GitLab EE/CE 8.11부터 12.9.1 버전에서 차단된 사용자가 Docker 이미지를 pull하거나 push할 수 있는 취약점이 발견되었습니다. 이로 인해 권한이 제한된 사용자가 컨테이너 레지스트리를 통해 비정상적인 데이터 접근 및 조작이 가능합니다.
💡 쉬운 설명
계정이 정지되거나 차단된 사용자임에도 불구하고, Docker 이미지를 올리거나 내려받는 기능을 계속 사용할 수 있는 문제입니다. 보안 정책을 우회하여 허용되지 않은 데이터 접근이 가능해질 수 있습니다.
🇺🇸 원문 (English)
GitLab EE/CE 8.11 through 12.9.1 allows blocked users to pull/push docker images.
📍 영향받는 시스템
GitLab EE/CE 8.11 ~ 12.9.1
⚔️ 공격 벡터
차단된 계정의 인증 토큰 또는 권한을 이용한 Docker Registry API 호출
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전(12.9.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 12.9.1 이하인 경우 해당 취약점에 노출되어 있을 가능성이 높습니다.
curl -s https://gitlab.com/api/v4/version | grep -E '12\.(9\.[0-1])'