🇰🇷 한글 설명
GitLab EE의 컴플라이언스 프레임워크 관리 기능에서 권한 제어 미흡으로 인해 보안 관리자 역할을 가진 인증된 사용자가 임의의 CI/CD 작업을 실행하고 그룹 프로젝트의 보호된 변수에 접근할 수 있는 취약점이 발견되었습니다. 이 문제는 특정 버전의 GitLab EE에서 발생하며, 적절한 권한 검증이 이루어지지 않아 발생합니다.
💡 쉬운 설명
보안 관리자 권한을 가진 사용자가 허용되지 않은 CI/CD 작업을 마음대로 실행하거나 중요한 비밀 정보를 훔쳐볼 수 있는 문제입니다. 권한 설정이 제대로 되어 있지 않아 발생하는 보안 허점입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 18.11 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that under certain conditions could have allowed an authenticated user with the Security Manager role to execute arbitrary CI/CD jobs and access protected variables within group projects due to improper authorization controls on compliance framework management.
📍 영향받는 시스템
GitLab EE 18.11.x (19.1.8 미만), 19.2.x (19.2.6 미만), 19.3.x (19.3.2 미만)
⚔️ 공격 벡터
인증된 보안 관리자(Security Manager) 권한을 이용한 컴플라이언스 프레임워크 관리 기능 악용
🛡️ 대응 방법
GitLab EE를 19.1.8, 19.2.6 또는 19.3.2 이상의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 패치가 필요한 상태이며, 아무것도 출력되지 않으면 안전할 가능성이 높습니다.
curl -s https://gitlab.com/api/v4/version | grep -E '18\[0-9]\.[0-9]+|19\.2\.[0-5]|19\.3\.[0-1]'