🇰🇷 한글 설명
GitLab CE/EE의 환경 범위 패턴 매처에서 부적절한 입력 검증으로 인해 발생하는 취약점입니다. 인증된 사용자가 특정 조건에서 의도하지 않은 환경 범위의 CI/CD 변수에 접근할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 환경의 비밀번호나 설정값을 몰래 볼 수 있는 보안 결함입니다. 환경을 구분하는 규칙을 검사하는 과정에서 오류가 발생하여 생기는 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.7 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that under certain conditions could have allowed an authenticated user to access CI/CD variables outside their intended environment scope due to improper input validation in the environment scope pattern matcher.
📍 영향받는 시스템
GitLab CE/EE 15.7 ~ 19.1.7, 19.2 ~ 19.2.5, 19.3 ~ 19.3.1
⚔️ 공격 벡터
인증된 사용자가 조작된 환경 범위 패턴을 입력하여 다른 환경의 CI/CD 변수에 접근
🛡️ 대응 방법
GitLab을 최신 패치 버전(19.1.8, 19.2.6, 19.3.2 이상)으로 업데이트
🔧 검증 코드
출력된 버전 정보가 패치된 보안 버전(19.1.8, 19.2.6, 19.3.2 이상)보다 낮으면 취약한 상태입니다.
curl -s https://gitlab.com/api/v4/version | grep -E '15\.[0-9]+|19\.[0-9]+\.[0-9]+' | grep -vE '19.1.8|19.2.6|19.3.2'