🇰🇷 한글 설명
GitLab EE의 특정 버전에서 인증된 사용자가 신뢰할 수 없는 입력을 악용하여 거버넌스 통제를 우회하는 GitLab Duo Agent Platform 토큰을 획득할 수 있는 취약점이 발견되었습니다. 이 문제는 보안 결정 과정에서 검증되지 않은 입력값에 의존하여 발생합니다.
💡 쉬운 설명
권한이 있는 사용자가 시스템의 허점을 이용해 보안 규칙을 무시하고 중요한 인증 토큰을 몰래 가져갈 수 있는 문제입니다. 이를 통해 원래 허용되지 않은 범위까지 접근할 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 19.1 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user holding a specific granular permission to obtain a GitLab Duo Agent Platform token that bypasses governance controls, due to reliance on untrusted input in a security decision.
📍 영향받는 시스템
GitLab EE 19.1.x (< 19.2.8), 19.3.x (< 19.3.5), 19.4.x (< 19.4.2)
⚔️ 공격 벡터
특정 권한을 가진 인증된 사용자가 조작된 입력을 통해 보안 검증 로직을 우회하여 토큰을 탈취
🛡️ 대응 방법
GitLab EE를 최신 보안 패치가 적용된 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab EE 버전을 확인하여 취약점이 해결된 패치 버전 이상인지 확인
gitlab-rake gitlab:env:info | grep 'GitLab Enterprise Edition'