🇰🇷 한글 설명
GitLab EE의 프로젝트 업데이트 엔드포인트에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 인증된 사용자가 특정 조건 하에서 상위 권한이 필요한 프로젝트 설정을 수정할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 원래는 건드릴 수 없는 중요한 프로젝트 설정을 마음대로 바꿀 수 있는 보안 결함입니다. 권한 확인 과정이 빠져 있어 발생한 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 19.1 before 19.1.4 and 19.2 before 19.2.2 that under certain conditions could have allowed an authenticated user to modify project settings restricted to higher-privileged roles, due to missing authorization checks on a project update endpoint.
📍 영향받는 시스템
GitLab EE 19.1 미만 19.1.4 버전 및 19.2 미만 19.2.2 버전
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 프로젝트 업데이트 엔드포인트에 요청을 보내 설정 변경
🛡️ 대응 방법
GitLab EE를 19.1.4 또는 19.2.2 이상의 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 취약한 범위(19.1.x 미만 또는 19.2.x 미만)에 해당하는지 확인
curl -s https://gitlab.example.com/api/v4/version | grep -E '"version":"(19\[\.[0-4]\.[0-9]+|[1-9]\.[0-2]\.[0-9]+)"'