🇰🇷 한글 설명
GitLab EE의 특정 버전에서 인증된 Reporter 권한 사용자가 머지 리퀘스트(MR) 작성 시 승인 규칙을 초기화할 수 있는 권한 검증 미흡 문제가 발견되었습니다. 이 취약점은 적절한 권한 체크가 이루어지지 않아 발생하며, 특정 조건 하에서 승인 프로세스를 우회할 수 있습니다.
💡 쉬운 설명
프로젝트의 읽기 권한만 있는 사용자가 실수나 의도로 승인 규칙을 마음대로 바꿀 수 있는 보안 허점이 발견되었습니다. 이로 인해 코드 검토 과정이 제대로 이루어지지 않을 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 13.1 before 19.1.7, 19.2 before 19.2.5, and 19.3 before 19.3.1 that, under certain conditions, an authenticated user with reporter-role permissions who authored a merge request could have reset merge request approval rules due to improper authorization checks.
📍 영향받는 시스템
GitLab EE 13.1 ~ 19.1.6, 19.2 ~ 19.2.4, 19.3 ~ 19.3.0
⚔️ 공격 벡터
Reporter 권한을 가진 인증된 사용자가 머지 리퀘스트를 통해 승인 규칙을 재설정하는 방식
🛡️ 대응 방법
GitLab EE를 최신 보안 패치 버전(19.1.7, 19.2.5, 19.3.1 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 패치가 필요한 상태이며, 아무것도 출력되지 않으면 안전합니다.
curl -s https://gitlab.com/api/v4/version | grep -E '"version":"(13\[0-9]\.|19\.1\.[0-6]|19\.2\.[0-4]|19\.3\.0)"'