🇰🇷 한글 설명
GitLab CE/EE의 특정 버전에서 인증된 사용자가 권한이 없는 프로젝트의 비공개 하위 이슈 내용을 읽을 수 있는 취약점이 발견되었습니다. 이는 가시적인 에픽(Epic) 내에 연결된 작업 항목에 대한 권한 확인 절차가 누락되어 발생합니다.
💡 쉬운 설명
로그인한 사용자가 자신이 볼 권한이 없는 프로젝트의 비밀스러운 이슈 제목이나 내용을 몰래 훔쳐볼 수 있는 문제입니다. 에픽이라는 상위 항목을 통해 연결된 하위 정보의 보안 검사가 제대로 이루어지지 않아 발생합니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.0 before 19.2.7, 19.3 before 19.3.3, and 19.4 before 19.4.1 that under certain conditions could have allowed an authenticated user to read private child issue contents, including titles and descriptions, from projects they had no access to, due to missing authorization checks on linked work items within visible epics.
📍 영향받는 시스템
GitLab CE/EE 19.0 ~ 19.2.6, 19.3 ~ 19.3.2, 19.4 ~ 19.4.0
⚔️ 공격 벡터
권한이 있는 에픽을 통해 연결된 비공개 하위 이슈의 콘텐츠에 접근하는 방식
🛡️ 대응 방법
GitLab을 19.2.7, 19.3.3 또는 19.4.1 이상의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(19.0.x ~ 19.4.0)에 해당하면 보안 업데이트가 필요합니다.
curl -s https://gitlab.com/api/v4/version | grep -E '19/(0|2
c|3
c|4
c)'