🇰🇷 한글 설명
GitLab EE의 결제 자격 확인 과정에서 서버 측 검증이 미흡하여 발생하는 취약점입니다. 인증된 사용자가 유효한 구독 없이도 유료 AI 기능을 사용할 수 있는 문제가 확인되었습니다.
💡 쉬운 설명
로그인한 사용자가 돈을 내지 않고도 GitLab의 유료 AI 기능을 몰래 사용할 수 있는 보안 허점이 발견되었습니다. 서버에서 결제 여부를 제대로 확인하지 못해 발생하는 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 17.8 before 19.3.6, 19.4 before 19.4.3, and 19.5 before 19.5.1 that under certain conditions could have allowed an authenticated user to access paid AI features without a valid subscription due to insufficient server-side validation in billing eligibility checks.
📍 영향받는 시스템
GitLab EE 17.8 ~ 19.3.5, 19.4 ~ 19.4.2, 19.5 ~ 19.5.0
⚔️ 공격 벡터
인증된 사용자가 결제 검증 로직을 우회하여 유료 AI 기능에 접근
🛡️ 대응 방법
GitLab EE를 최신 패치 버전(19.3.6, 19.4.3, 19.5.1 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab EE 버전을 확인하여 취약점이 해결된 패치 버전 이상인지 확인합니다.
gitlab-rake gitlab:env:info | grep 'GitLab Enterprise Edition'