🇰🇷 한글 설명
GitLab EE의 16.6부터 18.10.3 미만 버전에서 인증된 사용자가 특정 GraphQL 쿼리를 악용하여 다른 사용자의 이메일 주소에 무단으로 접근할 수 있는 정보 유출 취약점입니다. GitLab 18.8.9, 18.9.5, 18.10.3 이상 버전에서 해결되었습니다.
💡 쉬운 설명
GitLab에 로그인한 사용자가 특정 기능을 통해 다른 사람의 이메일 주소를 볼 수 있었던 정보 유출 문제입니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 16.6 before 18.8.9, 18.9 before 18.9.5, and 18.10 before 18.10.3 that under certain circumstances could have allowed an authenticated user to have access to other users' email addresses via certain GraphQL queries.
📍 영향받는 시스템
GitLab EE 16.6~18.8.8, 18.9.0~18.9.4, 18.10.0~18.10.2
⚔️ 공격 벡터
인증된 사용자가 GraphQL 쿼리를 직접 실행하여 다른 사용자의 이메일 주소 조회
🛡️ 대응 방법
GitLab을 18.8.9, 18.9.5, 또는 18.10.3 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 18.8.9, 18.9.5, 또는 18.10.3 이상이면 패치됨, 이하면 취약함
gitlab-ctl status > /dev/null 2>&1 && gitlab-rails runner 'puts Gitlab::VERSION' 2>/dev/null || echo 'GitLab not found'