🇰🇷 한글 설명
GitLab CE/EE의 인증된 사용자가 CSV 내보내기 기능의 부족한 권한 검사로 인해 다른 사용자에게 할당된 기밀 이슈에 접근할 수 있는 정보 유출 취약점입니다. 영향받는 버전은 18.2~18.10 범위의 여러 버전입니다.
💡 쉬운 설명
GitLab 사용자가 CSV로 이슈 목록을 내보낼 때, 자신이 접근할 수 없는 다른 사람의 비공개 이슈도 함께 다운로드할 수 있는 문제입니다. 시스템이 권한을 제대로 확인하지 않아 민감한 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 18.8.9, 18.9 before 18.9.5, and 18.10 before 18.10.3 that could have allowed an authenticated user to access confidential issues assigned to other users via CSV export due to insufficient authorization checks.
📍 영향받는 시스템
GitLab CE/EE 18.2~18.8.9, 18.9~18.9.5, 18.10~18.10.3 버전
⚔️ 공격 벡터
인증된 사용자가 CSV 내보내기 기능을 사용하여 권한 없이 기밀 이슈 데이터 접근
🛡️ 대응 방법
GitLab을 18.8.9, 18.9.5, 18.10.3 이상의 보안 패치 버전으로 업그레이드
🔧 검증 코드
명령어 결과에서 version 값이 18.8.9 이상, 18.9.5 이상, 또는 18.10.3 이상이면 안전합니다. 더 낮은 버전이면 취약합니다.
curl -s http://localhost/api/v4/version 2>/dev/null | grep -o '"version":"[^"]*"'