🇰🇷 한글 설명
GitLab 15.9부터 18.10.8 미만, 18.11부터 18.11.5 미만, 19.0부터 19.0.2 미만의 모든 버전에서 파일 이름 처리의 부적절한 입력 처리로 인해 보안 취약점이 발견되었습니다. 이 취약점을 통해 인증된 개발자 권한 사용자는 특정 조건 하에서 병합 요청(diff) 뷰에서 변경 사항을 숨길 수 있습니다.
💡 쉬운 설명
GitLab의 특정 버전에서 파일 이름 처리 오류로 인해 권한이 있는 사용자가 코드 변경 내역을 숨길 수 있는 문제가 있습니다. 이는 병합 요청 검토 과정에서 변경 사항을 제대로 확인하지 못하게 만들어 보안 위험을 초래할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.9 before 18.10.8, 18.11 before 18.11.5, and 19.0 before 19.0.2 that under certain conditions could have allowed an authenticated user with developer-role permissions to hide changes from merge request diff views due to improper input handling of file names.
📍 영향받는 시스템
GitLab CE/EE 15.9 <= version < 18.10.8, 18.11 <= version < 18.11.5, 19.0 <= version < 19.0.2
⚔️ 공격 벡터
인증된 개발자 권한을 가진 사용자가 파일 이름 입력을 조작하여 diff 뷰에서 변경 사항을 숨김
🛡️ 대응 방법
GitLab을 18.10.8, 18.11.5, 또는 19.0.2 이상의 안전한 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(15.9 이상 18.10.8 미만 등)에 해당하면 업그레이드가 필요하며, 패치된 버전 이상이면 안전합니다.
curl -s --header 'PRIVATE-TOKEN: <your_access_token>' 'https://<gitlab_host>/api/v4/version' | grep -o '"version":"[^"]*"'