🇰🇷 한글 설명
GitLab EE의 머지 리퀘스트 API 엔드포인트에서 권한 검증이 누락되어 발생한 취약점입니다. 이로 인해 개발자 권한을 가진 인증된 사용자가 상위 권한자만 볼 수 있도록 제한된 외부 상태 확인 구성 정보를 열람할 수 있습니다.
💡 쉬운 설명
회사 프로젝트 관리 도구인 GitLab에서 일반 개발자가 볼 수 없어야 할 보안 설정 정보를 몰래 볼 수 있는 문제입니다. 권한 설정이 제대로 되어 있지 않아 발생한 보안 허점입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 16.0 before 19.0.6, 19.1 before 19.1.4, and 19.2 before 19.2.2 that under certain conditions could have allowed an authenticated user with developer-role permissions to view external status check configuration restricted to higher-privileged roles due to missing authorization on a merge request API endpoint.
📍 영향받는 시스템
GitLab EE 16.0 ~ 19.0.5, 19.1 ~ 19.1.3, 19.2 ~ 19.2.1
⚔️ 공격 벡터
개발자 권한을 가진 인증된 사용자가 특정 API 엔드포인트에 요청을 보내 제한된 정보를 탈취
🛡️ 대응 방법
GitLab EE를 19.0.6, 19.1.4 또는 19.2.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 해당 버전이 설치되어 있음을 의미합니다.
curl -s https://gitlab.example.com/api/v4/version | grep -E '16\[0-9]\.|19\.0\.[0-5]|19\.1\.[0-3]|19\.2\.[0-1]'