🇰🇷 한글 설명
GitLab EE의 특정 버전에서 그룹 설정 필드의 사용자 입력 값에 대한 부적절한 sanitization으로 인해 인증된 사용자가 타인의 계정에 무단 이메일 주소를 추가할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 13.1.4부터 18.10.8 이전, 18.11부터 18.11.5 이전, 19.0부터 19.0.2 이전 버전에서 영향을 미칩니다.
💡 쉬운 설명
GitLab의 설정 기능에 결함이 있어, 로그인한 사용자가 다른 사람의 계정에 원하지 않는 이메일을 추가할 수 있습니다. 이는 시스템의 입력 검증 과정이 제대로 작동하지 않아 발생한 보안 문제입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 13.1.4 before 18.10.8, 18.11 before 18.11.5, and 19.0 before 19.0.2 that under certain conditions could have allowed an authenticated user to add unauthorized email addresses to a targeted user's account due to improper sanitization of user-supplied input in certain group setting fields.
📍 영향받는 시스템
GitLab EE 13.1.4 <= version < 18.10.8, 18.11 <= version < 18.11.5, 19.0 <= version < 19.0.2
⚔️ 공격 벡터
인증된 사용자가 대상 사용자의 그룹 설정 필드를 통해 악의적인 입력값을 전송하여 계정 정보를 변조
🛡️ 대응 방법
GitLab을 권장 버전(18.10.8, 18.11.5, 19.0.2 이상)으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(18.10.8 미만 등)에 해당하면 업그레이드가 필요하며, 안전한 버전 이상이면 패치 완료 상태입니다.
curl -s https://packages.gitlab.com/api/packages/gitlab-ce | grep -o '"version":"[^"]*"' | head -n 1