🇰🇷 한글 설명
GitLab CE/EE의 다운스트림 파이프라인 생성 서비스에서 권한 확인이 부적절하게 이루어지는 취약점이 발견되었습니다. 이로 인해 Developer 권한을 가진 인증된 사용자가 권한 없이 보호된 브랜치에서 CI/CD 파이프라인을 실행할 수 있습니다.
💡 쉬운 설명
개발자 권한을 가진 사용자가 원래는 건드릴 수 없는 중요한 코드 영역(보호된 브랜치)에서 마음대로 자동화 작업을 실행할 수 있는 문제입니다. 이로 인해 승인되지 않은 코드가 배포될 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.7 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with Developer role to execute CI/CD pipelines on protected branches without authorization due to improper authorization checks in the downstream pipeline creation service.
📍 영향받는 시스템
GitLab CE/EE 18.7 ~ 19.2.7, 19.3 ~ 19.3.4, 19.4 ~ 19.4.1
⚔️ 공격 벡터
인증된 Developer 권한을 가진 사용자가 권한 검증이 미흡한 다운스트림 파이프라인 생성 서비스를 이용해 공격
🛡️ 대응 방법
GitLab을 최신 패치 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트
🔧 검증 코드
출력된 버전 정보가 취약한 범위(18.7~19.2.7, 19.3~19.3.4, 19.4~19.4.1)에 해당하면 취약한 상태입니다.
curl -s https://gitlab.com/api/v4/version | grep -E '18\[0-7]\..*|19\[0-2]\.[0-7]\..*|19\[3]\.[0-4]\..*|19\[4]\.[0-1]\..*'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
GitLab 제품 보안 업데이트 권고
P4
📅 2026-10-14 · sec_notice
GitLab CE/EE 및 GitLab AI Gateway 제품에서 정수 오버플로우, XSS, 권한 부여 오류 등 다양한 보안 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 공격에 노출될 수 있으므로 권고된 최신 버전으로 즉시 업데이트해야 합니다.