🇰🇷 한글 설명
GitLab EE에서 인스턴스 레벨 approval rule 편집 방지 기능이 활성화되었을 때 권한 검증이 부족하여, Maintainer 권한의 인증된 사용자가 프로젝트 approval rules을 수정하거나 삭제할 수 있는 취약점이다. 이를 악용하면 필수 코드 리뷰 정책을 우회할 수 있다.
💡 쉬운 설명
GitLab의 코드 검토 규칙을 보호하는 기능에 결함이 있어 일부 사용자가 이 규칙을 마음대로 변경할 수 있는 문제입니다. 이로 인해 필수 검토 단계를 건너뛸 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 16.10 before 18.9.7, 18.10 before 18.10.6, and 18.11 before 18.11.3 that when instance-level approval rule editing prevention was enabled, could have allowed an authenticated user with Maintainer permissions to modify or delete project approval rules due to missing authorization checks.
📍 영향받는 시스템
GitLab EE 16.10 이전, 18.9.7 미만, 18.10.6 미만, 18.11.3 미만
⚔️ 공격 벡터
Maintainer 권한의 인증된 사용자가 API를 통해 프로젝트 approval rules에 대한 권한 검증을 우회하여 수정/삭제 실행
🛡️ 대응 방법
GitLab을 18.9.7, 18.10.6, 18.11.3 이상으로 즉시 업그레이드
🔧 검증 코드
GitLab 버전을 확인하여 패치 버전보다 낮으면 업그레이드 필요
curl -s -H 'PRIVATE-TOKEN: $GITLAB_TOKEN' https://gitlab.example.com/api/v4/version 2>/dev/null | jq -r '.version'