🇰🇷 한글 설명
GitLab EE의 특정 버전에서 권한 할당 오류로 인해 컴플라이언스 프레임워크 관리 권한을 가진 인증된 사용자가 그룹 프로젝트 전체에 특수하게 제작된 컴플라이언스 파이프라인을 구성하고 실행할 수 있는 취약점이 발견되었습니다. 이 문제는 적절한 권한 검증이 이루어지지 않아 발생하며, 특정 조건 하에서 권한 범위를 벗어난 동작이 가능합니다.
💡 쉬운 설명
회사 규정을 관리하는 권한을 가진 사용자가 원래 허용된 범위를 넘어 다른 프로젝트들까지 마음대로 조작할 수 있는 보안 결함입니다. 잘못된 설정된 명령어를 통해 그룹 내 여러 프로젝트에 영향을 줄 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 17.0 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user holding a custom role with compliance framework administration permissions to configure and execute a specially crafted compliance pipeline across group projects due to improper privilege assignment.
📍 영향받는 시스템
GitLab EE 17.0 ~ 19.2.7, 19.3 ~ 19.3.4, 19.4 ~ 19.4.1
⚔️ 공격 벡터
컴플라이언스 관리 권한을 가진 인증된 사용자가 특수하게 제작된 파이프라인을 구성하여 실행
🛡️ 대응 방법
GitLab EE를 최신 보안 패치 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab EE 버전을 확인하여 취약한 버전 범위에 해당하는지 대조
gitlab-rake gitlab:env:info | grep 'GitLab Enterprise Edition' -A 5