🇰🇷 한글 설명
GitLab EE의 Analytics Dashboard에서 부적절한 입력 검증으로 인해 인증된 개발자 권한 사용자가 타겟 사용자를 대신해 임의의 클라이언트 측 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 문제는 17.1부터 18.10.8 미만, 18.11부터 18.11.5 미만, 19.0부터 19.0.2 미만의 모든 버전에서 영향을 받습니다.
💡 쉬운 설명
GitLab의 분석 대시보드 기능에 보안 허점이 있어, 권한이 있는 사용자가 다른 사용자의 계정을 사칭해 악성 스크립트를 실행할 수 있습니다. 이는 사용자의 브라우저에서 악의적인 코드가 동작하도록 유도하는 클라이언트 측 공격입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 17.1 before 18.10.8, 18.11 before 18.11.5, and 19.0 before 19.0.2 that under certain conditions could have allowed an authenticated user with developer-role permissions to execute arbitrary client-side code on behalf of a targeted user due to improper input sanitization in the Analytics Dashboard.
📍 영향받는 시스템
GitLab EE 17.1-18.10.7, 18.11-18.11.4, 19.0-19.0.1
⚔️ 공격 벡터
인증된 개발자 권한 사용자가 Analytics Dashboard의 입력값을 조작하여 타겟 사용자의 브라우저에서 임의 코드 실행
🛡️ 대응 방법
GitLab EE를 18.10.8, 18.11.5, 또는 19.0.2 이상의 안정 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 18.10.8, 18.11.5, 19.0.2 이상인지 확인하여 패치되었는지 검증합니다.
curl -s https://packages.gitlab.com/api/packages/gitlab-ee | grep -o '"version":"[^"]*"' | head -n 1