🇰🇷 한글 설명
GitLab EE/CE의 GraphQL 엔드포인트에서 발생하는 서비스 거부(DoS) 취약점입니다. 인증되지 않은 사용자가 쿼리 복잡도 제한을 우회하여 리소스를 고갈시키고 서비스를 중단시킬 수 있습니다.
💡 쉬운 설명
해커가 복잡한 질문을 한꺼번에 던져서 GitLab 서버를 마비시킬 수 있는 문제입니다. 로그인하지 않은 사람도 공격이 가능하여 서비스가 멈출 위험이 있습니다.
🇺🇸 원문 (English)
Denial of Service issue in GraphQL endpoints in Gitlab EE/CE affecting all versions from 11.10 prior to 18.2.7, 18.3 prior to 18.3.3, and 18.4 prior to 18.4.1 allows unauthenticated users to potentially bypass query complexity limits leading to resource exhaustion and service disruption.
📍 영향받는 시스템
GitLab EE/CE 11.10 ~ 18.2.6, 18.3 ~ 18.3.2, 18.4 ~ 18.4.0
⚔️ 공격 벡터
인증되지 않은 사용자가 GraphQL 쿼리 복잡도 제한을 우회하는 요청을 전송
🛡️ 대응 방법
GitLab을 최신 보안 패치 버전(18.2.7, 18.3.3, 18.4.1 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab 버전이 취약한 버전 범위에 포함되는지 확인
gitlab-rake gitlab:env:info | grep 'GitLab version'