🇰🇷 한글 설명
GitLab EE의 특정 GraphQL 작업에서 권한 부여가 부적절하게 처리되어 발생하는 취약점입니다. 이로 인해 감사자(auditor) 수준의 권한을 가진 인증된 사용자가 특정 조건에서 컴플라이언스 위반 기록을 수정할 수 있습니다.
💡 쉬운 설명
감사 권한만 가진 사용자가 원래는 수정할 수 없는 보안 위반 기록을 마음대로 고칠 수 있는 문제입니다. 권한 설정 오류로 인해 데이터의 무결성이 훼손될 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 18.2 before 18.11.7, 19.0 before 19.0.4, and 19.1 before 19.1.2 that under certain conditions could have allowed an authenticated user with auditor-level access to modify compliance violation records due to improper authorization on certain GraphQL operations.
📍 영향받는 시스템
GitLab EE 18.2 미만 18.11.7 버전, 19.0 미만 19.0.4 버전, 19.1 미만 19.1.2 버전
⚔️ 공격 벡터
인증된 감사자 권한을 가진 사용자가 조작된 GraphQL 요청을 전송하여 권한을 우회함
🛡️ 대응 방법
GitLab EE를 최신 보안 패치가 적용된 버전(18.11.7, 19.0.4, 19.1.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(18.2~18.11.6, 19.0.0~19.0.3, 19.1.0~19.1.1)에 해당하면 패치가 필요합니다.
curl -s https://gitlab.example.com/api/v4/version | grep -E '18\[0-9]\.[0-9]{1,2}\.[0-9]|19\.0\.[0-4]|19\.1\.[2-9]'