🇰🇷 한글 설명
GitLab CE/EE의 특정 버전에서 권한 검증 누락으로 인해 발생하는 보안 취약점입니다. 이로 인해 Reporter 권한을 가진 인증된 사용자가 권한이 없는 제한된 CI 아티팩트 보고서 내용에 접근할 수 있습니다.
💡 쉬운 설명
회사 시스템에 로그인할 수 있는 일반 직원이 원래는 볼 수 없는 다른 사람의 중요한 작업 결과물을 몰래 볼 수 있는 문제입니다. 권한 확인 절차가 빠져 있어서 발생한 보안 구멍입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 13.8 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with reporter role to access restricted CI artifact report content they were not authorized to, due to missing authorization checks.
📍 영향받는 시스템
GitLab CE/EE 13.8 ~ 19.2.7, 19.3 ~ 19.3.4, 19.4 ~ 19.4.1
⚔️ 공격 벡터
Reporter 권한을 가진 인증된 사용자가 권한 검증이 누락된 API 또는 경로를 통해 비인가된 CI 아티팩트 데이터에 접근
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 버전(19.2.8, 19.3.5, 19.4.2 이상 등)에 해당하는지 확인하십시오.
curl -s https://gitlab.com/api/v4/version | grep -E '13\[0-9]\.', '19\.2\.[0-8]', '19\.3\.[5-9]', '19\.4\.[2-9]'