🇰🇷 한글 설명
GitLab CE/EE의 특정 버전에서 권한 검증 미흡으로 인해 발생하는 보안 취약점입니다. 개발자(Developer) 권한을 가진 인증된 사용자가 유지보수자(Maintainer) 권한 없이도 특정 패키지 레지스트리 메타데이터를 수정할 수 있습니다.
💡 쉬운 설명
회사 프로젝트의 코드를 관리하는 권한이 낮은 직원이, 원래는 높은 권한을 가진 관리자만 할 수 있는 패키지 정보 수정 작업을 몰래 수행할 수 있는 문제입니다. 이로 인해 소프트웨어 배포 정보가 임의로 변경될 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 17.6 before 19.0.6, 19.1 before 19.1.4, and 19.2 before 19.2.2 that under certain conditions could have allowed an authenticated user with developer role to modify certain package registry metadata without the required maintainer-level permissions due to improper authorization checks.
📍 영향받는 시스템
GitLab CE/EE 17.6 ~ 19.0.5, 19.1 ~ 19.1.3, 19.2 ~ 19.2.1
⚔️ 공격 벡터
권한이 낮은 인증된 사용자가 부적절한 권한 검증을 악용하여 패키지 레지스트리 API를 통해 메타데이터를 수정
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전(19.0.6, 19.1.4, 19.2.2 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 업데이트가 필요한 상태이며, 아무것도 출력되지 않으면 안전할 가능성이 높습니다.
curl -s https://gitlab.com/api/v4/version | grep -E '17\[0-6]\..*|19\[0-1]\.[0-3]\.|19\.2\.[0-1]'