🇰🇷 한글 설명
GitLab EE의 특정 버전에서 인증된 사용자가 CI/CD 가시성이 비활성화된 프로젝트임에도 불구하고 보호된 환경 설정을 조회, 생성 또는 삭제할 수 있는 취약점이 발견되었습니다. 이 문제는 커스텀 역할 권한을 가진 사용자가 특정 조건 하에서 권한을 초과하여 환경 설정에 접근할 수 있게 합니다.
💡 쉬운 설명
권한이 제한된 사용자가 원래는 볼 수 없어야 하는 프로젝트의 중요한 설정 정보를 마음대로 보고 수정할 수 있는 문제입니다. 보안 설정이 꺼져 있어도 특정 규칙을 이용해 몰래 접근할 수 있는 결함입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 17.9 before 18.11.6, 19.0 before 19.0.3, and 19.1 before 19.1.1 that under certain conditions could have allowed an authenticated user with custom role permissions to view, create, or delete protected environment configurations despite CI/CD visibility being disabled for the project.
📍 영향받는 시스템
GitLab EE 17.9 ~ 18.11.5, 19.0 ~ 19.0.2, 19.1 ~ 19.1.0
⚔️ 공격 벡터
커스텀 권한을 가진 인증된 사용자가 권한 우회 조건을 이용해 CI/CD 설정에 접근
🛡️ 대응 방법
GitLab EE를 최신 보안 패치 버전(18.11.6, 19.0.3, 19.1.1 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab 버전을 확인하여 취약점이 해결된 패치 버전 이상인지 대조합니다.
gitlab-rake gitlab:env:info 2>/dev/null | grep 'GitLab version' || gitlab-shell --version