🇰🇷 한글 설명
GitLab CE/EE의 여러 버전에서 부적절한 접근 제어로 인해 인증되지 않은 사용자가 접근할 수 없는 프로젝트의 디버깅 기호를 다운로드할 수 있는 보안 취약점입니다. 이는 민감한 디버깅 정보와 소스 코드 관련 정보의 유출로 이어질 수 있습니다.
💡 쉬운 설명
GitLab에서 비공개 프로젝트의 디버그 파일을 권한 없는 사용자가 다운로드할 수 있는 버그입니다. 악의적인 사용자가 이를 이용해 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 16.7 before 18.9.7, 18.10 before 18.10.6, and 18.11 before 18.11.3 that could have allowed an unauthenticated user to download private debugging symbols from inaccessible projects due to improper access control.
📍 영향받는 시스템
GitLab CE/EE 16.7~18.9.6, 18.10~18.10.5, 18.11~18.11.2
⚔️ 공격 벡터
인증 없이 취약한 GitLab의 비공개 프로젝트 디버깅 기호 API 엔드포인트에 직접 요청하여 파일 다운로드
🛡️ 대응 방법
GitLab을 18.9.7, 18.10.6, 18.11.3 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 18.9.7, 18.10.6, 18.11.3 이상이면 패치된 상태이고, 그 이하면 취약 상태입니다.
cat /opt/gitlab/VERSION 2>/dev/null || dpkg -l gitlab-ce 2>/dev/null | grep -E '^ii' | awk '{print $3}' || rpm -q gitlab-ce --queryformat='%{VERSION}' 2>/dev/null