🇰🇷 한글 설명
Backstage 0.8.7 미만 버전의 @backstage/plugin-catalog-backend-module-gitlab 패키지에서 GitLab 조직 사용자 수집 시 권한 부여가 부적절하게 처리되는 취약점이 발견되었습니다. GitLab 조직 이벤트 수집을 활성화하고 범위가 지정된 카탈로그 사용자를 액세스 경계로 사용하는 경우, 의도하지 않은 카탈로그 ID가 허용될 수 있습니다. 이로 인해 설정에 따라 일반 인증된 사용자의 권한으로 권한 없는 접근이 가능할 수 있습니다.
💡 쉬운 설명
Backstage라는 개발자 포털에서 GitLab 사용자를 자동으로 가져올 때 보안 검사가 제대로 이루어지지 않는 문제입니다. 이로 인해 권한이 없는 사용자가 일반 사용자 권한을 이용해 시스템에 잘못 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Backstage is an open framework for building developer portals. Prior to 0.8.7, the @backstage/plugin-catalog-backend-module-gitlab package is affected by improper authorization in gitlab organizational user ingestion. Deployments that enable GitLab organization event ingestion and rely on scoped catalog users as an access boundary may admit an unintended catalog identity. Depending on sign-in and permission configuration, this may allow unauthorized access with the permissions of a standard authenticated user. This issue is fixed in version 0.8.7.
📍 영향받는 시스템
Backstage versions prior to 0.8.7 (specifically @backstage/plugin-catalog-backend-module-gitlab)
⚔️ 공격 벡터
GitLab 조직 이벤트 수집 기능을 통해 의도하지 않은 카탈로그 ID를 생성하여 권한 없는 접근 시도
🛡️ 대응 방법
Backstage를 0.8.7 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 패키지 버전이 0.8.7 미만인지 확인하십시오.
npm list @backstage/plugin-catalog-backend-module-gitlab