🇰🇷 한글 설명
GitLab CE/EE의 이메일 알림 기능에서 입력 값이 제대로 검증되지 않아, 인증된 사용자가 다른 사용자에게 전송되는 이메일에 HTML과 JavaScript를 주입할 수 있는 취약점입니다. 공격자는 이를 통해 이메일 수신자를 피싱이나 정보 탈취로 유도할 수 있습니다.
💡 쉬운 설명
GitLab의 알림 이메일에 악성 코드를 몰래 삽입할 수 있는 문제입니다. 인증된 사용자가 다른 사람이 받는 이메일을 조작하여 클릭을 유도하거나 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.11 before 18.9.7, 18.10 before 18.10.6, and 18.11 before 18.11.3 that could have allowed an authenticated user to inject HTML and JavaScript into email notifications sent to other users due to improper input sanitization.
📍 영향받는 시스템
GitLab CE/EE 15.11~18.9.7 미만, 18.10.0~18.10.6 미만, 18.11.0~18.11.3 미만
⚔️ 공격 벡터
인증된 사용자가 이메일 알림 콘텐츠에 HTML/JavaScript 페이로드를 삽입하여 수신자가 실행하도록 유도
🛡️ 대응 방법
18.9.7, 18.10.6, 18.11.3 이상으로 GitLab 업그레이드
🔧 검증 코드
출력된 GitLab 버전이 18.9.7, 18.10.6, 18.11.3 이상인지 확인하여 보안 패치 적용 여부 판단
curl -s http://localhost/-/health 2>/dev/null | grep version || cat /opt/gitlab/GITLAB_VERSION 2>/dev/null || echo 'Check failed'