🇰🇷 한글 설명
GitLab EE의 여러 버전에서 발견된 취약점으로, 고아된 정책 레코드(orphaned policy records)가 제대로 정리되지 않아 인증된 사용자가 merge request 승인 요구사항을 우회할 수 있는 문제입니다. 이는 코드 검토 프로세스를 무효화할 수 있어 코드 품질 및 보안 관리를 약화시킵니다.
💡 쉬운 설명
GitLab에서 merge request(코드 변경 승인)를 위해 반드시 거쳐야 하는 승인 단계를 인증된 사용자가 건너뛸 수 있는 문제입니다. 레코드 정리 오류로 인해 이미 삭제된 정책이 시스템에 남아있어 이를 악용할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 15.7 before 18.9.7, 18.10 before 18.10.6, and 18.11 before 18.11.3 that could have allowed an authenticated user to bypass merge request approval requirements due to improper cleanup of orphaned policy records.
📍 영향받는 시스템
GitLab EE 15.7~18.9.6, 18.10~18.10.5, 18.11~18.11.2
⚔️ 공격 벡터
인증된 사용자가 orphaned policy records를 직접 조작하거나 부적절하게 정리된 정책을 활용하여 승인 요구사항 우회
🛡️ 대응 방법
GitLab을 18.9.7, 18.10.6, 18.11.3 이상으로 업그레이드
🔧 검증 코드
현재 GitLab 버전을 확인하여 영향받는 범위(15.7~18.9.6, 18.10~18.10.5, 18.11~18.11.2)에 해당하는지 확인
curl -s http://localhost:80/api/v4/version 2>/dev/null | grep -oP '"version":\s*"\K[^"]+' || echo 'GitLab 접근 불가'