🇰🇷 한글 설명
GitLab EE의 GraphQL 쿼리 내 권한 확인 오류로 인해, 인증된 사용자가 권한이 없는 네임스페이스의 정책 설정을 읽을 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 19.1.4 미만 버전과 19.2.2 미만 버전에서 발생합니다.
💡 쉬운 설명
로그인한 사용자가 원래 볼 수 없는 다른 그룹의 보안 설정 정보를 몰래 훔쳐볼 수 있는 문제입니다. 권한 확인 과정에 허점이 있어 발생한 보안 사고입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 19.1 before 19.1.4 and 19.2 before 19.2.2 that under certain conditions could have allowed an authenticated user to read policy configuration belonging to a namespace they were not authorized to access, due to incorrect authorization checks in a GraphQL query.
📍 영향받는 시스템
GitLab EE 19.1.0 ~ 19.1.3, 19.2.0 ~ 19.2.1
⚔️ 공격 벡터
인증된 사용자가 조작된 GraphQL 쿼리를 전송하여 권한 밖의 데이터에 접근
🛡️ 대응 방법
GitLab EE를 19.1.4 또는 19.2.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 19.1.4 또는 19.2.2 이상인지 확인
curl -s http://<gitlab-url>/help | grep -E 'GitLab version'