🇰🇷 한글 설명
GitLab EE의 특정 버전에서 인증된 공격자가 악의적인 명령어가 포함된 설명을 통해 권한 없는 퀵 액션을 실행할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 17.6.0~18.3.4, 18.4.0~18.4.2, 18.5.0 버전에서 영향을 받습니다.
💡 쉬운 설명
로그인한 사용자가 게시물 설명란에 특수한 명령어를 숨겨 넣어 시스템에 허가되지 않은 동작을 수행하게 만드는 보안 결함입니다. 공격자가 의도치 않은 설정을 변경하거나 명령을 실행할 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 17.6.0 before 18.3.5, 18.4 before 18.4.3, and 18.5 before 18.5.1 that could have allowed an authenticated attacker to execute unauthorized quick actions by including malicious commands in specific descriptions.
📍 영향받는 시스템
GitLab EE (17.6.0 < 18.3.5, 18.4.0 < 18.4.3, 18.5.0 < 18.5.1)
⚔️ 공격 벡터
인증된 공격자가 특정 설명(description) 필드에 악의적인 퀵 액션 명령어를 삽입하여 실행
🛡️ 대응 방법
GitLab EE를 최신 보안 패치 버전(18.3.5, 18.4.3, 18.5.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(17.6.0~18.3.4, 18.4.0~18.4.2, 18.5.0~18.5.0)에 해당하는지 확인하십시오.
gitlab-rake gitlab:env:info | grep 'GitLab Enterprise Edition' | awk '{print $NF}'