🇰🇷 한글 설명
GitLab EE의 특정 버전에서 관리자가 그룹의 Duo 사용을 차단하더라도, 그룹 소유자 권한을 가진 인증된 사용자가 AI 기반 데이터 외부 유출을 다시 활성화할 수 있는 취약점이 발견되었습니다. 이는 관리자 잠금 제어 기능의 세부 권한 설정이 미흡하여 발생한 문제입니다.
💡 쉬운 설명
관리자가 보안을 위해 AI 기능을 꺼두어도, 그룹의 관리자 권한을 가진 다른 사람이 이를 몰래 다시 켤 수 있는 문제입니다. 이로 인해 데이터가 외부 서비스로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 19.2 before 19.3.6, 19.4 before 19.4.3, and 19.5 before 19.5.1 that, when an instance administrator locked a group's Duo availability, an authenticated user with group Owner permissions could have re-enabled AI-backed data egress to a third-party service for that group and its descendant projects, due to insufficient granularity of the admin-lock enforcement controls.
📍 영향받는 시스템
GitLab EE 19.2 (19.3.6 미만), 19.4 (19.4.3 미만), 19.5 (19.5.1 미만)
⚔️ 공격 벡터
그룹 소유자(Owner) 권한을 가진 인증된 사용자가 설정 변경을 통해 AI 데이터 유출 기능을 재활성화
🛡️ 대응 방법
GitLab EE를 최신 패치 버전(19.3.6, 19.4.3, 19.5.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 패치 버전(19.3.6, 19.4.3, 19.5.1 이상)인지 확인하십시오.
gitlab-rake gitlab:env:info | grep 'GitLab Enterprise Edition' | awk '{print $NF}'