🇰🇷 한글 설명
GitLab의 GraphQL API를 통해 비공개 사용자 프로필의 별표(starred) 프로젝트 정보가 노출되는 취약점입니다. GitLab 12.2 버전부터 13.6.2 미만 버전의 특정 범위에서 발생합니다.
💡 쉬운 설명
사용자가 숨기고 싶어 하는 '좋아요'를 누른 프로젝트 목록이 API를 통해 외부로 드러날 수 있는 문제입니다. 개인의 활동 내역이 의도치 않게 공개될 위험이 있습니다.
🇺🇸 원문 (English)
Information about the starred projects for private user profiles was exposed via the GraphQL API starting from 12.2 via the REST API. This affects GitLab >=12.2 to <13.4.7, >=13.5 to <13.5.5, and >=13.6 to <13.6.2.
📍 영향받는 시스템
GitLab >=12.2 to <13.4.7, >=13.5 to <13.5.5, >=13.6 to <13.6.2
⚔️ 공격 벡터
GraphQL API를 이용한 비공개 프로필 정보 조회
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전(13.4.7, 13.5.5, 13.6.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 버전(13.4.7, 13.5.5, 13.6.2 이상)인지 확인하십시오.
curl -s https://<your-gitlab-url>/help | grep 'GitLab version'