🇰🇷 한글 설명
GitLab CE/EE 18.2~18.10.6, 18.11~18.11.3, 19.0~19.0.0 버전에서 잘못된 인증 검사로 인해 권한 없는 사용자가 비공개 프로젝트를 열거할 수 있는 정보 공개 취약점입니다. 공격자는 특정 조건 하에서 프로젝트 목록을 통해 민감한 프로젝트 정보를 수집할 수 있습니다.
💡 쉬운 설명
GitLab 서버에서 숨겨야 할 프로젝트 목록을 로그인하지 않은 사용자도 볼 수 있는 버그입니다. 회사 내부 프로젝트 이름 같은 민감한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 18.10.7, 18.11 before 18.11.4, and 19.0 before 19.0.1 that under certain conditions could have allowed an unauthorized user to enumerate private projects due to incorrect authorization checks.
📍 영향받는 시스템
GitLab CE/EE 18.2-18.10.6, 18.11-18.11.3, 19.0-19.0.0
⚔️ 공격 벡터
인증되지 않은 사용자가 API 또는 웹 인터페이스를 통해 프로젝트 열거 엔드포인트 접근
🛡️ 대응 방법
GitLab을 18.10.7, 18.11.4, 또는 19.0.1 이상으로 즉시 업그레이드
🔧 검증 코드
GitLab 버전이 18.10.7 이상(18.10.x), 18.11.4 이상(18.11.x), 19.0.1 이상(19.0.x)이면 안전, 그 이하 버전이면 취약함
curl -s http://localhost/api/v4/version 2>/dev/null | grep -oP '"version":\s*"\K[^"]*'