🇰🇷 한글 설명
GitLab CE/EE의 파이프라인 생성 과정에서 발생하는 레이스 컨디션 문제로 인해, 특정 조건에서 개발자 사용자가 다른 사용자의 머지 요청 커밋 컨텍스트에서 작업을 수행할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 13.0부터 19.1.7, 19.2.5, 19.3.1 버전까지 영향을 미칩니다.
💡 쉬운 설명
시스템이 여러 작업을 동시에 처리하는 과정에서 발생하는 시간차 오류를 이용한 보안 문제입니다. 이를 통해 권한이 없는 사용자가 다른 사람의 작업 내역에 몰래 개입할 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 13.0 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that under certain conditions could have allowed a developer user to perform actions in the context of another user's merge request commit due to a race condition issue in pipeline creation.
📍 영향받는 시스템
GitLab CE/EE (13.0 ~ 19.1.7, 19.2 ~ 19.2.5, 19.3 ~ 19.3.1)
⚔️ 공격 벡터
파이프라인 생성 시 발생하는 레이스 컨디션(Race Condition)을 이용한 권한 상승 및 작업 탈취
🛡️ 대응 방법
GitLab을 최신 보안 패치 버전(19.1.8, 19.2.6, 19.3.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 GitLab 버전이 취약 버전 범위에 포함되는지 확인하십시오.
gitlab-rake gitlab:env:info | grep 'GitLab version'