🇰🇷 한글 설명
GitLab CE/EE의 인증된 사용자가 특정 조건에서 의도하지 않은 다른 ref type(branch, tag 등)의 CI 데이터에 접근할 수 있는 권한 회피 취약점입니다. 이는 민감한 CI/CD 정보 노출 위험을 초래합니다.
💡 쉬운 설명
GitLab 사용자가 자신이 접근할 수 없어야 할 다른 브랜치나 태그의 CI 파이프라인 정보를 볼 수 있게 되는 문제입니다. 비밀 설정값이나 빌드 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 12.7 before 18.10.7, 18.11 before 18.11.4, and 19.0 before 19.0.1 that under certain conditions could have allowed an authenticated user to access CI data from a different ref type than intended.
📍 영향받는 시스템
GitLab CE/EE 12.7~18.10.6, 18.11.0~18.11.3, 19.0.0
⚔️ 공격 벡터
인증된 사용자가 CI API/UI를 통해 권한이 없는 ref type의 CI 데이터 조회
🛡️ 대응 방법
GitLab을 18.10.7, 18.11.4, 19.0.1 이상으로 업그레이드
🔧 검증 코드
출력된 GitLab 버전이 18.10.7, 18.11.4, 19.0.1 이상인지 확인하세요. 더 낮은 버전이면 취약점에 영향받습니다.
sudo gitlab-rake gitlab:env:info 2>/dev/null | grep 'GitLab' | head -1