🇰🇷 한글 설명
GitLab CE/EE의 부적절한 인가 검사로 인해 개발자 역할 권한을 가진 인증된 사용자가 PyPI 패키지 보호 규칙을 우회하고 제한된 패키지를 업로드할 수 있는 취약점입니다.
💡 쉬운 설명
GitLab에서 패키지 업로드 권한을 제대로 확인하지 않아 개발자가 업로드해서는 안 되는 패키지를 업로드할 수 있습니다. 이를 통해 악의적인 코드가 저장소에 들어올 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 17.6 before 18.9.7, 18.10 before 18.10.6, and 18.11 before 18.11.3 that could have allowed an authenticated user with developer-role permissions to bypass PyPI package protection rules and upload restricted packages due to improper authorization checks.
📍 영향받는 시스템
GitLab CE/EE 17.6 이전, 18.9.7 이전, 18.10.6 이전, 18.11.3 이전 버전
⚔️ 공격 벡터
개발자 역할의 인증된 계정으로 로그인하여 PyPI 패키지 보호 규칙을 우회하고 제한된 패키지 업로드
🛡️ 대응 방법
GitLab을 18.9.7, 18.10.6, 18.11.3 이상의 안전한 버전으로 업그레이드
🔧 검증 코드
출력된 GitLab 버전이 18.9.7, 18.10.6, 18.11.3 미만이면 업데이트 필요, 이상이면 안전함.
cat /opt/gitlab/GITLAB_VERSION 2>/dev/null || grep GITLAB_VERSION /opt/gitlab/version_metadata.txt 2>/dev/null