🇰🇷 한글 설명
GitLab CE/EE의 GraphQL API에서 권한 부여가 부적절하게 처리되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 특정 조건에서 공개 프로젝트의 내부 노트 및 기밀 시스템 노트를 읽을 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 GitLab 프로젝트에 숨겨진 비밀 메모나 내부 기록을 몰래 볼 수 있는 보안 결함입니다. 관리자가 설정한 보안 규칙이 제대로 작동하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to read internal notes and confidential system notes on public projects due to improper authorization in the GraphQL API.
📍 영향받는 시스템
GitLab CE/EE 19.2.0~19.2.7, 19.3.0~19.3.4, 19.4.0~19.4.1
⚔️ 공격 벡터
인증되지 않은 사용자가 GraphQL API를 통해 권한 없이 내부 데이터에 접근
🛡️ 대응 방법
GitLab을 최신 패치 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 패치 버전(19.2.8, 19.3.5, 19.4.2 이상)인지 확인
gitlab-rake gitlab:env:info | grep 'GitLab version'