🇰🇷 한글 설명
GitLab CE/EE의 가져오기(import) 기능에서 입력값 검증이 미흡하여 발생하는 취약점입니다. 이로 인해 인증된 사용자가 특정 조건의 프록시 환경에서 의도하지 않은 내부 요청을 생성할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 시스템의 허점을 이용해 내부 네트워크의 다른 서버에 몰래 요청을 보낼 수 있는 문제입니다. 외부에서는 접근할 수 없는 내부 정보에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 8.11 before 18.7.6, 18.8 before 18.8.6, and 18.9 before 18.9.2 that could have allowed an authenticated user to make unintended internal requests through proxy environments under certain conditions due to improper input validation in import functionality.
📍 영향받는 시스템
GitLab CE/EE (8.11 ~ 18.7.5, 18.8.0 ~ 18.8.5, 18.9.0 ~ 18.9.1)
⚔️ 공격 벡터
인증된 사용자가 가져오기 기능의 입력값 검증 미흡을 이용한 SSRF(Server-Side Request Forgery) 공격
🛡️ 대응 방법
GitLab을 최신 패치 버전(18.7.6, 18.8.6, 18.9.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 18.7.6, 18.8.6, 18.9.2보다 낮은 버전인지 확인하십시오.
gitlab-rake gitlab:env:info | grep "GitLab version"