🇰🇷 한글 설명
GitLab EE의 특정 버전에서 프로젝트 유지관리자(Maintainer)가 사용자에게 자신보다 높은 권한을 가진 커스텀 역할을 할당할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 자신의 권한을 비정상적으로 상승시킬 수 있습니다.
💡 쉬운 설명
프로젝트 관리 권한을 가진 사람이 시스템 규칙을 어기고 자신에게 더 높은 관리자 권한을 부여할 수 있는 문제입니다. 결과적으로 원래 허용되지 않은 높은 수준의 제어권을 갖게 될 수 있습니다.
🇺🇸 원문 (English)
An issue has been discovered in GitLab EE affecting all versions from 16.6 before 18.2.7, 18.3 before 18.3.3, and 18.4 before 18.4.1. Project Maintainers can exploit a vulnerability where they can assign custom roles to users with permissions exceeding their own, effectively granting themselves elevated privileges.
📍 영향받는 시스템
GitLab EE 16.6 ~ 18.2.6, 18.3 ~ 18.3.2, 18.4 ~ 18.4.0
⚔️ 공격 벡터
프로젝트 유지관리자 권한을 가진 사용자가 커스텀 역할을 생성하거나 할당하여 권한 상승 시도
🛡️ 대응 방법
GitLab EE를 최신 보안 패치 버전(18.2.7, 18.3.3, 18.4.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위에 해당하면 업데이트가 필요한 상태입니다.
curl -s https://gitlab.com/api/v4/version | grep -E '16\[0-9]\.[0-9]+|18\.[0-2]\.[0-6]|18\.3\.[0-2]|18\.4\.[0-0]'