🇰🇷 한글 설명
GitLab CE/EE의 특정 버전에서 프로젝트 범위의 세밀한 개인 액세스 토큰(PAT)을 가진 인증된 사용자가 그룹 수준의 레이블을 영구적으로 삭제하거나 수정할 수 있는 취약점이 발견되었습니다. 이는 레이블 소유권 범위 검증 과정의 권한 부여 로직 오류로 인해 발생합니다.
💡 쉬운 설명
프로젝트 권한만 가진 사용자가 실수나 악의적인 의도로 그룹 전체의 공통 태그를 지우거나 바꿀 수 있는 문제입니다. 권한 체크가 제대로 이루어지지 않아 발생하는 보안 허점입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.11 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with a project-scoped fine-grained Personal Access Token to permanently delete or modify group-level labels, due to incorrect authorization logic on label ownership scope validation.
📍 영향받는 시스템
GitLab CE/EE 18.11.x (19.2.8 미만), 19.3.x (19.3.5 미만), 19.4.x (19.4.2 미만)
⚔️ 공격 벡터
프로젝트 범위의 세밀한 개인 액세스 토큰(PAT)을 보유한 인증된 사용자가 권한 검증 오류를 악용하여 공격
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 패치 버전(19.2.8, 19.3.5, 19.4.2 이상)인지 확인하십시오.
gitlab-rake gitlab:env:info | grep 'GitLab version'