🇰🇷 한글 설명
GitLab의 GraphQL 멀티플렉스 쿼리 처리 과정에서 요청 검증이 미흡하여 발생하는 취약점입니다. 특정 조건에서 인증되지 않은 사용자가 GET 요청을 통해 변조(mutation)를 실행할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 특정 명령을 몰래 실행할 수 있는 보안 구멍이 발견되었습니다. 공격자가 일반적인 조회 요청처럼 위장하여 데이터를 변경하거나 조작할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 18.11.11, 19.0 before 19.0.8, 19.1 before 19.1.6, and 19.2 before 19.2.4 that under certain conditions could have allowed an unauthenticated user to execute mutations via GET requests due to improper request validation in GraphQL multiplex query handling.
📍 영향받는 시스템
GitLab CE/EE 18.2 ~ 18.11.10, 19.0 ~ 19.0.7, 19.1 ~ 19.1.5, 19.2 ~ 19.2.3
⚔️ 공격 벡터
인증되지 않은 사용자가 GraphQL GET 요청을 통한 변조(Mutation) 실행
🛡️ 대응 방법
GitLab을 최신 보안 패치 버전(18.11.11, 19.0.8, 19.1.6, 19.2.4 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 패치 버전 이상인지 확인하십시오.
curl -s https://gitlab.example.com/help | grep -E 'GitLab version'