🇰🇷 한글 설명
GitLab CE/EE의 권한 확인 로직 오류로 인해 인증되지 않은 사용자가 비공개 그룹 및 프로젝트의 워크 아이템 내용을 읽을 수 있는 취약점이 발견되었습니다. 이 문제는 특정 조건 하에서 발생하며, GitLab 17.11부터 19.4 버전 사이의 일부 버전이 영향을 받습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인이 권한이 없는 비공개 프로젝트의 작업 내용을 몰래 볼 수 있는 보안 결함입니다. 권한 확인 과정에 실수가 있어 발생한 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 17.11 before 19.2.8, 19.3 before 19.3.6, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to read work item contents from private groups and projects due to incorrect authorization checks.
📍 영향받는 시스템
GitLab CE/EE (17.11 ~ 19.2.8 미만, 19.3 ~ 19.3.6 미만, 19.4 ~ 19.4.2 미만)
⚔️ 공격 벡터
인증되지 않은 사용자가 권한 확인 절차를 우회하여 비공개 워크 아이템 데이터에 접근
🛡️ 대응 방법
GitLab을 최신 보안 패치 버전(19.2.8, 19.3.6, 19.4.2 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있음을 의미합니다.
curl -s https://gitlab.com/api/v4/version | grep -E '17.11|19.2.[0-7]|19.3.[0-5]|19.4.[0-1]'