🇰🇷 한글 설명
GitLab EE의 DAST 사이트 프로필 관리 과정에서 권한 부여 오류가 발견되었습니다. 이로 인해 특정 조건에서 Developer 권한을 가진 사용자가 DAST 사이트 프로필에 저장된 비밀 정보를 탈취할 수 있습니다.
💡 쉬운 설명
개발자 권한을 가진 사용자가 원래는 볼 수 없는 중요한 비밀번호나 인증 정보를 몰래 빼낼 수 있는 보안 결함입니다. 권한 설정이 잘못되어 있어 발생한 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 13.11 prior to 18.11.6, 19.0 prior to 19.0.3, and 19.1 prior to 19.1.1 in which incorrect authorization in DAST site profile management could allow a user with Developer role to exfiltrate DAST site profile secrets under certain conditions.
📍 영향받는 시스템
GitLab EE 13.11 ~ 18.11.5, 19.0 ~ 19.0.2, 19.1 ~ 19.1.0
⚔️ 공격 벡터
Developer 권한을 가진 사용자가 DAST 사이트 프로필 관리 기능을 악용하여 권한 밖의 비밀 정보를 요청함
🛡️ 대응 방법
GitLab EE를 18.11.6, 19.0.3 또는 19.1.1 이상의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(18.11.6 미만 등)에 포함되는지 확인하십시오.
gitlab-rake gitlab:env:info | grep 'GitLab Enterprise Edition' | awk '{print $NF}'