🇰🇷 한글 설명
GitLab CE/EE의 파이프라인 스케줄 입력 처리 과정에서 사용자 제공 속성에 대한 검증이 미흡하여 발생한 취약점입니다. 인증된 사용자가 특정 조건 하에 다른 사용자의 CI/CD 설정을 수정할 수 있는 위험이 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 자동화 작업 설정을 몰래 바꿀 수 있는 보안 결함입니다. 이로 인해 회사의 중요한 소프트웨어 빌드 과정이 조작될 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.0 before 19.0.5, 19.1 before 19.1.3, and 19.2 before 19.2.1 that under certain conditions could have allowed an authenticated user to modify CI/CD configuration belonging to another user due to improper validation of user-supplied attributes when processing pipeline schedule inputs.
📍 영향받는 시스템
GitLab CE/EE 18.0 ~ 19.0.4, 19.1 ~ 19.1.2, 19.2 ~ 19.2.0
⚔️ 공격 벡터
인증된 사용자가 파이프라인 스케줄 입력 시 조작된 속성을 전달하여 타인의 설정 변경
🛡️ 대응 방법
GitLab을 최신 패치 버전(19.0.5, 19.1.3, 19.2.1 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약한 범위에 해당하면 업데이트가 필요한 상태입니다.
curl -s https://gitlab.com/api/v4/version | grep -E '18\[0-9]\.[0-9]|19\[0-1]\.[0-2]|19\.2\.[0]'