🇰🇷 한글 설명
GitLab CE/EE의 특정 버전에서 차단된 사용자가 WebSocket 연결을 통한 GraphQL 구독을 설정하여 민감한 정보에 접근할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 16.7 이상 18.3.6 미만, 18.4 이상 18.4.4 미만, 18.5 이상 18.5.2 미만 버전에서 영향을 받습니다.
💡 쉬운 설명
계정이 차단된 사용자라도 특수한 연결 방식을 이용하면 몰래 중요한 정보를 훔쳐볼 수 있는 보안 결함입니다. 최신 버전으로 업데이트하면 이 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 16.7 before 18.3.6, 18.4 before 18.4.4, and 18.5 before 18.5.2, that could have allowed a blocked user to access sensitive information by establishing GraphQL subscriptions through WebSocket connections.
📍 영향받는 시스템
GitLab CE/EE (16.7 < 18.3.6, 18.4 < 18.4.4, 18.5 < 18.5.2)
⚔️ 공격 벡터
WebSocket 연결을 통한 GraphQL 구독 설정 및 데이터 요청
🛡️ 대응 방법
GitLab을 18.3.6, 18.4.4 또는 18.5.2 이상의 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 패치 버전(18.3.6, 18.4.4, 18.5.2 이상)인지 확인하십시오.
gitlab-rake gitlab:env:info | grep 'GitLab version'