🇰🇷 한글 설명
GitLab CE/EE의 GraphQL API에서 리소스 할당 제한이 불충분하여 인증된 사용자가 과도한 쿼리를 통해 시스템 리소스를 소진시킬 수 있습니다. 이를 악용하여 서비스 거부(DoS) 공격이 가능합니다. 12.4 이상 18.11.1 미만의 여러 버전이 영향을 받습니다.
💡 쉬운 설명
GitLab에 로그인한 사용자가 특수한 요청을 반복 송신하여 서버의 자원을 고갈시키는 공격입니다. 서버가 요청의 크기나 복잡도를 제대로 제한하지 못해 발생하는 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 12.4 before 18.9.6, 18.10 before 18.10.4, and 18.11 before 18.11.1 that could have allowed an authenticated user to cause denial of service by overwhelming system resources under certain conditions due to insufficient resource allocation limits in the GraphQL API.
📍 영향받는 시스템
GitLab CE/EE 12.4~18.9.5, 18.10.0~18.10.3, 18.11.0
⚔️ 공격 벡터
인증된 사용자가 GraphQL API에 복잡한 쿼리를 대량으로 전송하여 CPU, 메모리 등 시스템 리소스 소진
🛡️ 대응 방법
GitLab을 버전 18.9.6, 18.10.4, 18.11.1 이상으로 업그레이드
🔧 검증 코드
GitLab 버전이 18.9.6, 18.10.4, 18.11.1 이상이면 패치 적용됨, 그 이하면 취약함
curl -s http://localhost/-/version 2>/dev/null | grep version || grep VERSION /opt/gitlab/embedded/service/gitlab-rails/config/application.rb 2>/dev/null | head -1