🇰🇷 한글 설명
GitLab EE의 특정 버전에서 인증된 개발자 권한 사용자가 Claude 에이전트의 설정 처리 취약점을 악용하여 CI 컨텍스트 내에서 임의의 명령을 실행할 수 있는 문제가 발견되었습니다. 이 취약점은 사용자 제어가 가능한 소스로부터 설정을 처리하는 과정에서 발생합니다.
💡 쉬운 설명
회사 프로젝트 관리 도구인 GitLab에서 개발자 권한을 가진 사람이 몰래 악성 명령을 실행할 수 있는 보안 구멍이 발견되었습니다. Claude AI 에이전트가 잘못된 설정을 읽어들이는 점을 이용한 공격입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 18.9 before 19.1.7, 19.2 before 19.2.5, and 19.3 before 19.3.1 that, under certain conditions, an authenticated user with developer-role permissions could have executed arbitrary commands in a CI context, due to the Claude agent processing configuration from a user-controlled source.
📍 영향받는 시스템
GitLab EE 18.9 미만, 19.2 미만 19.2.5, 19.3 미만 19.3.1 버전
⚔️ 공격 벡터
인증된 개발자 권한을 가진 사용자가 Claude 에이전트 설정 파일에 악성 명령을 삽입하여 CI 환경에서 실행
🛡️ 대응 방법
GitLab EE를 최신 패치 버전(19.1.7, 19.2.5, 19.3.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 패치 버전(19.1.7, 19.2.5, 19.3.1 이상)인지 확인하십시오.
gitlab-rake gitlab:env:info | grep 'GitLab Enterprise Edition' | awk '{print $NF}'