🇰🇷 한글 설명
GitLab CE/EE의 특정 버전에서 인증된 게스트 사용자가 외부 권한 설정으로 제한된 기밀 에픽(Epic) 콘텐츠를 읽을 수 있는 취약점이 발견되었습니다. 이는 권한 확인 로직이 올바르게 구현되지 않아 발생한 문제입니다.
💡 쉬운 설명
권한이 낮은 손님(Guest) 계정으로 로그인한 사용자가 원래는 볼 수 없는 중요한 프로젝트 계획이나 내용을 몰래 읽을 수 있는 문제입니다. 보안 설정이 제대로 작동하지 않아 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 17.0 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with Guest access to read confidential epic content meant to be restricted by external authorization, due to incorrect authorization checks.
📍 영향받는 시스템
GitLab CE/EE 17.0 ~ 19.2.7, 19.3 ~ 19.3.4, 19.4 ~ 19.4.1
⚔️ 공격 벡터
인증된 게스트 권한을 가진 사용자가 권한 검증 오류를 악용하여 제한된 에픽 콘텐츠에 접근
🛡️ 대응 방법
GitLab을 최신 패치 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 패치 버전(19.2.8, 19.3.5, 19.4.2 이상)인지 확인
gitlab-rake gitlab:env:info | grep 'GitLab version'