🇰🇷 한글 설명
GitLab EE의 특정 버전에서 사용자 입력값에 대한 검증이 미흡하여 발생하는 보안 취약점입니다. 개발자 권한을 가진 인증된 사용자가 특정 조건 하에서 다른 사용자의 브라우저 세션에서 임의의 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 악성 코드를 심어 다른 사용자의 웹 브라우저에서 몰래 명령을 실행할 수 있는 문제입니다. 이를 통해 다른 사용자의 계정 정보를 탈취하거나 원치 않는 동작을 유도할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 13.11 before 18.11.7, 19.0 before 19.0.4, and 19.1 before 19.1.2 that under certain conditions could have allowed an authenticated user with developer-role permissions to execute arbitrary scripts in another user's browser session due to improper sanitization of user-supplied input.
📍 영향받는 시스템
GitLab EE 13.11 ~ 18.11.6, 19.0 ~ 19.0.3, 19.1 ~ 19.1.1
⚔️ 공격 벡터
개발자 권한을 가진 사용자가 입력값에 삽입한 악성 스크립트를 통해 타 사용자의 브라우저에서 실행(XSS)
🛡️ 대응 방법
GitLab EE를 최신 보안 패치 버전(18.11.7, 19.0.4, 19.1.2 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 업데이트가 필요한 상태이며, 아무것도 출력되지 않으면 안전합니다.
curl -s https://gitlab.com/api/v4/version | grep -E '13\[0-9]\..*|18\[0-9]\.[0-6]|19\.0\.[0-3]|19\.1\.[0-1]'