🇰🇷 한글 설명
GitLab EE의 특정 버전에서 인증된 공격자가 머지 리퀘스트(Merge Request) 댓글에 숨겨진 프롬프트를 삽입하여 기밀 이슈의 민감한 정보를 유출할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 17.8~18.3.5, 18.4~18.4.3, 18.5~18.5.1 버전에서 영향을 받습니다.
💡 쉬운 설명
로그인한 사용자가 댓글에 몰래 숨겨진 명령어를 적어 넣어, 비밀스러운 프로젝트 내용을 몰래 빼낼 수 있는 문제입니다. 보안이 강화된 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 17.8 before 18.3.6, 18.4 before 18.4.4, and 18.5 before 18.5.2 that could have allowed an authenticated attacker to leak sensitive information from confidential issues by injecting hidden prompts into merge request comments.
📍 영향받는 시스템
GitLab EE 17.8 미만 18.3.6 미만, 18.4 미만 18.4.4 미만, 18.5 미만 18.5.2 미만 버전
⚔️ 공격 벡터
인증된 공격자가 머지 리퀘스트 댓글에 숨겨진 프롬프트를 주입하여 기밀 이슈 정보 탈취
🛡️ 대응 방법
GitLab EE를 18.3.6, 18.4.4 또는 18.5.2 이상의 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 패치 버전(18.3.6, 18.4.4, 18.5.2 이상)인지 확인
gitlab-rake gitlab:env:info | grep 'GitLab version'