🇰🇷 한글 설명
GitLab CE/EE 18.2~18.8.8, 18.9.0~18.9.4, 18.10.0~18.10.2 버전에서 권한 확인 미흡으로 커스텀 역할을 가진 인증된 사용자가 상위 권한의 그룹 멤버를 강등 또는 제거할 수 있는 취약점입니다. 멤버 관리 작업 시 인가 점검이 제대로 이루어지지 않아 권한 에스컬레이션이 가능합니다.
💡 쉬운 설명
GitLab에서 제한된 권한의 사용자가 실수로 또는 악의적으로 관리자 권한을 가진 사람의 권한을 낮출 수 있는 결함입니다. 공격자가 조직 관리자를 강등시켜 시스템 제어권을 탈취할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 18.8.9, 18.9 before 18.9.5, and 18.10 before 18.10.3 that could have allowed an authenticated user with custom role permissions to demote or remove higher-privileged group members due to improper authorization checks on member management operations.
📍 영향받는 시스템
GitLab CE/EE versions 18.2-18.8.8, 18.9.0-18.9.4, 18.10.0-18.10.2
⚔️ 공격 벡터
Authenticated user with custom role exploits insufficient authorization checks in member management API to demote or remove higher-privileged members
🛡️ 대응 방법
Upgrade to GitLab 18.8.9, 18.9.5, 18.10.3 or later; verify member permission controls are enforced
🔧 검증 코드
버전이 18.8.9 이상, 18.9.5 이상 또는 18.10.3 이상이면 패치됨; 그 이하면 즉시 업그레이드 필요
cat /opt/gitlab/VERSION 2>/dev/null || curl -s http://localhost/api/v4/version 2>/dev/null | grep -o '"version":"[^"]*"'