🇰🇷 한글 설명
GitLab EE의 특정 버전에서 개발자 권한을 가진 인증된 사용자가 권한 범위를 벗어나 보호된 CI/CD 변수에 접근할 수 있는 취약점이 발견되었습니다. 이는 불충분한 범위 검증으로 인해 발생하며, 공격자가 정책 테스트 파이프라인을 실행하여 상위 권한의 변수를 탈취할 수 있습니다.
💡 쉬운 설명
회사 프로젝트의 개발자 권한을 가진 사람이 원래는 볼 수 없는 중요한 비밀번호나 보안 키를 몰래 훔쳐볼 수 있는 문제입니다. 보안 설정이 제대로 확인되지 않아 발생하는 권한 상승 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 19.0 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that, under certain conditions could have allowed an authenticated user with developer permissions to execute a policy test pipeline on projects within their group and access protected CI/CD variables restricted to higher-privileged roles, due to insufficient scope validation.
📍 영향받는 시스템
GitLab EE 19.0 < 19.1.8, 19.2 < 19.2.6, 19.3 < 19.3.2
⚔️ 공격 벡터
개발자 권한을 가진 인증된 사용자가 정책 테스트 파이프라인을 실행하여 보호된 CI/CD 변수에 접근
🛡️ 대응 방법
GitLab EE를 최신 패치 버전(19.1.8, 19.2.6, 19.3.2 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 GitLab EE 버전이 취약점이 해결된 패치 버전(19.1.8, 19.2.6, 19.3.2 이상)인지 확인
gitlab-rake gitlab:env:info | grep 'GitLab Enterprise Edition' && gitlab-rake gitlab:version | grep -E '19\.(0|2|3)\.'