🇰🇷 한글 설명
GitLab CE/EE의 GraphQL API에서 권한 부여가 제대로 이루어지지 않아 발생하는 취약점입니다. 특정 조건에서 인증되지 않은 사용자가 민감한 변수 값이 포함된 CI/CD 작업 로그 내용을 읽을 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 GitLab의 작업 기록을 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 이 기록에는 비밀번호나 인증 키 같은 중요한 정보가 포함되어 있을 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.11 before 19.2.7, 19.3 before 19.3.3, and 19.4 before 19.4.1 that under certain conditions could have allowed an unauthenticated user to read CI/CD job trace contents containing sensitive variable values due to improper authorization enforcement in the GraphQL API.
📍 영향받는 시스템
GitLab CE/EE 15.11 ~ 19.2.6, 19.3 ~ 19.3.2, 19.4 ~ 19.4.0
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 GraphQL API 요청을 통해 CI/CD 작업 로그에 접근
🛡️ 대응 방법
GitLab을 최신 보안 패치 버전(19.2.7, 19.3.3, 19.4.1 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 패치 버전(19.2.7, 19.3.3, 19.4.1 이상 등)인지 확인
gitlab-rake gitlab:env:info | grep 'GitLab version'