🇰🇷 한글 설명
GitLab EE의 foundational flows 기능이 그룹 레벨에서 활성화되었을 때, developer 역할의 인증된 사용자가 설정된 flow 제한을 우회할 수 있는 권한 검증 취약점입니다. 이를 악용하면 본래 제한되어야 할 작업을 수행할 수 있습니다.
💡 쉬운 설명
GitLab 소프트웨어의 업무 흐름 제한 기능이 일반 개발자 권한의 사용자에게 완전히 적용되지 않는 문제입니다. 특정 설정이 켜져 있으면 개발자가 할 수 없어야 할 일을 할 수 있게 됩니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 18.7 before 18.10.7, 18.11 before 18.11.4, and 19.0 before 19.0.1 that when foundational flows were enabled at the group level, could have allowed an authenticated user with developer-role permissions to bypass flow restrictions under certain conditions.
📍 영향받는 시스템
GitLab EE 18.7~18.10.6, 18.11~18.11.3, 19.0~19.0.0
⚔️ 공격 벡터
developer 역할 인증 사용자가 foundational flows 활성화된 그룹에서 flow 제한 우회
🛡️ 대응 방법
GitLab을 18.10.7, 18.11.4, 19.0.1 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 18.10.7 이상(18.11의 경우 18.11.4 이상, 19.0의 경우 19.0.1 이상)이면 취약점이 패치됨
dpkg -l gitlab-ee 2>/dev/null | awk '/gitlab-ee/ {print $3}'