🇰🇷 한글 설명
GitLab CE/EE의 GraphQL API에서 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 사용자의 권한으로 임의의 GraphQL 뮤테이션을 실행할 수 있습니다.
💡 쉬운 설명
로그인된 사용자가 모르는 사이에 공격자가 의도한 명령을 GitLab 서버에 보내도록 만드는 공격입니다. 이를 통해 공격자는 사용자의 권한을 도용하여 시스템 설정을 바꾸거나 데이터를 조작할 수 있습니다.
🇺🇸 원문 (English)
An issue has been discovered in GitLab CE/EE affecting all versions from 16.1.0 before 16.11.5, all versions starting from 17.0 before 17.0.3, all versions starting from 17.1.0 before 17.1.1 which allowed for a CSRF attack on GitLab's GraphQL API leading to the execution of arbitrary GraphQL mutations.
📍 영향받는 시스템
GitLab CE/EE 16.1.0 ~ 16.11.4, 17.0.0 ~ 17.0.2, 17.1.0
⚔️ 공격 벡터
CSRF를 이용한 GraphQL API 대상 임의 뮤테이션 실행
🛡️ 대응 방법
GitLab을 최신 보안 패치 버전(16.11.5, 17.0.3, 17.1.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위에 해당하면 패치가 필요한 상태입니다.
curl -s https://gitlab.com/api/v4/version | grep -E '16\.(1[0-9]|11\.[0-4])|17\.(0\.[0-2]|1\.0)'