🇰🇷 한글 설명
GitLab EE의 권한 검증 문제로, auditor 권한을 가진 인증 사용자가 private projects의 vulnerability flag 데이터를 무단으로 수정할 수 있는 취약점입니다. 버전 18.6~18.10 초기 버전이 영향받습니다.
💡 쉬운 설명
GitLab에서 특정 관리자가 접근할 수 없어야 하는 보안 취약점 데이터를 수정할 수 있게 하는 권한 검증 오류입니다. 이로 인해 보안 기록이 조작될 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 18.6 before 18.8.9, 18.9 before 18.9.5, and 18.10 before 18.10.3 that under certain circumstances could have allowed an authenticated user with auditor privileges to modify vulnerability flag data in private projects due to incorrect authorization.
📍 영향받는 시스템
GitLab EE 18.6.0~18.8.8, 18.9.0~18.9.4, 18.10.0~18.10.2
⚔️ 공격 벡터
Auditor 권한 사용자가 인증 후 API 또는 웹 UI를 통해 private project의 vulnerability flag 데이터 수정
🛡️ 대응 방법
GitLab을 18.8.9, 18.9.5, 또는 18.10.3 이상의 패치 버전으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 18.8.9 미만이거나 18.9.x 시리즈는 18.9.5 미만, 18.10.x 시리즈는 18.10.3 미만이면 취약점 존재
curl -s http://localhost/api/v4/version 2>/dev/null | jq -r '.version'