🇰🇷 한글 설명
GitLab EE의 Duo AI 문제 해결 기능에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 인증된 사용자가 특정 조건에서 디버그 모드 작업 로그를 통해 민감한 CI/CD 변수 값을 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 AI 도움말 기능을 이용해 원래는 볼 수 없는 중요한 비밀번호나 설정값을 몰래 훔쳐볼 수 있는 문제입니다. 보안 설정이 빠져 있어 발생한 실수입니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 18.7 before 19.2.7, 19.3 before 19.3.3, and 19.4 before 19.4.1 that under certain conditions could have allowed an authenticated user to access sensitive CI/CD variable values from debug-mode job traces through the Duo AI troubleshooting feature due to missing authorization checks.
📍 영향받는 시스템
GitLab EE 18.7 미만, 19.3 미만(19.3.3 이전), 19.4 미만(19.4.1 이전) 버전
⚔️ 공격 벡터
인증된 사용자가 Duo AI 트러블슈팅 기능을 사용하여 디버그 모드 작업 로그에 포함된 변수 값에 접근
🛡️ 대응 방법
GitLab EE를 최신 패치 버전(19.4.1, 19.3.3, 19.2.7 이상)으로 업데이트
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 패치 버전 이상인지 확인하십시오.
gitlab-rake gitlab:env:info | grep 'GitLab version'