🇰🇷 한글 설명
GitLab EE의 특정 버전에서 인증된 사용자가 권한이 없는 네임스페이스의 컴플라이언스 프레임워크를 자신의 프로젝트에 할당할 수 있는 취약점이 발견되었습니다. 이는 셀프 관리형 인스턴스에서 네임스페이스 검증이 누락되어 발생하며, GitLab 18.3(19.1.7 미만), 19.2(19.2.5 미만), 19.3(19.3.1 미만) 버전이 영향을 받습니다.
💡 쉬운 설명
로그인한 사용자가 원래 접근할 수 없는 다른 그룹의 보안 규칙을 자신의 프로젝트로 몰래 가져와 적용할 수 있는 문제입니다. 이로 인해 기업의 보안 규정 준수 체계가 무너질 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 18.3 before 19.1.7, 19.2 before 19.2.5, and 19.3 before 19.3.1 that, under certain conditions, an authenticated user could have assigned compliance frameworks from namespaces they were not authorized to access to their own project, due to missing namespace validation on self-managed instances.
📍 영향받는 시스템
GitLab EE 18.3 (< 19.1.7), 19.2 (< 19.2.5), 19.3 (< 19.3.1)
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 네임스페이스의 프레임워크 ID를 사용하여 자신의 프로젝트에 할당 시도
🛡️ 대응 방법
GitLab EE를 최신 패치 버전(19.1.7, 19.2.5, 19.3.1 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약한 범위에 해당하면 업데이트가 필요합니다.
curl -s https://gitlab.com/api/v4/version | grep -E '18\[.3|19\.2\.[0-5]|19\.3\.[0-1]'