🇰🇷 한글 설명
GitLab EE에서 인증된 개발자 역할의 사용자가 API의 부족한 권한 검증으로 인해 보호된 환경(Protected Environment) 설정을 무단으로 변경할 수 있는 취약점입니다. 이는 배포 파이프라인의 보안을 우회할 수 있습니다.
💡 쉬운 설명
GitLab에서 개발자가 건드리면 안 되는 중요한 배포 환경 설정을 몰래 바꿀 수 있는 보안 구멍입니다. 악의적인 개발자가 승인 절차 없이 프로덕션 배포를 변경할 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 11.3 before 18.8.9, 18.9 before 18.9.5, and 18.10 before 18.10.3 that could have allowed an authenticated user with developer-role permissions to modify protected environment settings due to improper authorization checks in the API.
📍 영향받는 시스템
GitLab EE 버전 11.3~18.8.8, 18.9~18.9.4, 18.10~18.10.2
⚔️ 공격 벡터
인증된 개발자 권한으로 GitLab API를 호출하여 보호된 환경 설정을 직접 수정
🛡️ 대응 방법
GitLab을 18.8.9, 18.9.5, 18.10.3 이상으로 즉시 업그레이드
🔧 검증 코드
GitLab 버전이 18.8.9, 18.9.5, 18.10.3 이상이면 안전하며, 그 아래 버전이면 즉시 패치 필요
curl -s http://localhost/api/v4/version 2>/dev/null | grep -oP '"version":"\K[^"]+' || grep -oP 'version = \K[^\n]+' /opt/gitlab/version-manifest.txt 2>/dev/null