🇰🇷 한글 설명
GitLab의 특정 버전들에서 프로젝트 유지 관리자가 대상 프로젝트의 멤버를 가져올 권한이 있는지 확인하지 않는 취약점이 발견되었습니다. 이로 인해 권한이 없는 사용자가 프로젝트 멤버 정보를 부적절하게 가져올 수 있습니다.
💡 쉬운 설명
프로젝트 관리자라면 당연히 가져올 수 있어야 하는 멤버 정보를, 권한이 없는 사람도 몰래 가져올 수 있는 보안 구멍이 발견되었습니다. 이로 인해 프로젝트 내부 구성원 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
An issue has been discovered in GitLab affecting all versions starting from 12.0 before 14.4.5, all versions starting from 14.5.0 before 14.5.3, all versions starting from 14.6.0 before 14.6.2. GitLab was not verifying that a maintainer of a project had the right access to import members from a target project.
📍 영향받는 시스템
GitLab 12.0 ~ 14.4.4, 14.5.0 ~ 14.5.2, 14.6.0 ~ 14.6.1
⚔️ 공격 벡터
권한이 없는 사용자가 프로젝트 멤버 가져오기 기능을 악용하여 대상 프로젝트의 멤버 정보를 탈취
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전(14.4.5, 14.5.3, 14.6.2 이상)으로 즉시 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있는 상태입니다.
curl -s https://gitlab.com/api/v4/version | grep -E '12\.[0-9]+|14\.[4-5]\.[0-4]|14\.6\.[0-1]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access