🇰🇷 한글 설명
GitLab CE/EE의 12.3 버전부터 모든 버전에서 GraphQL을 통해 공개 프로젝트에 설정된 IP 제한을 우회할 수 있는 문제가 발견되었습니다. 이를 통해 권한이 없는 사용자가 이슈, 머지 리퀘스트, 마일스톤의 제목을 읽을 수 있습니다.
💡 쉬운 설명
특정 보안 규칙을 무시하고 GitLab의 공개 프로젝트 정보를 몰래 훔쳐볼 수 있는 취약점입니다. 공격자는 이를 통해 프로젝트의 진행 상황이나 제목 같은 민감한 정보를 파악할 수 있습니다.
🇺🇸 원문 (English)
An issue has been discovered in GitLab CE/EE affecting all versions starting with 12.3. Under certain conditions it was possible to bypass the IP restriction for public projects through GraphQL allowing unauthorised users to read titles of issues, merge requests and milestones.
📍 영향받는 시스템
GitLab CE/EE 12.3 이상의 모든 버전
⚔️ 공격 벡터
GraphQL 쿼리를 이용한 IP 제한 우회 공격
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 보안 패치 버전보다 낮은지 확인하십시오.
curl -s https://gitlab.com/api/v4/version | grep -E 'version'