🇰🇷 한글 설명
GitLab EE의 특정 버전에서 권한이 제한된 인증된 사용자가 적절한 권한 확인 없이 프로젝트 CI/CD 배포 롤백 설정을 수정할 수 있는 취약점이 발견되었습니다. 이는 불충분한 접근 제어 검사로 인해 발생하며, 특정 조건 하에서 권한 상승을 초래할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 허락 없이 프로젝트의 자동 복구 설정을 마음대로 바꿀 수 있는 문제입니다. 이로 인해 잘못된 설정이 적용되어 서비스 운영에 차질이 생길 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 13.6 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with limited permissions to modify project CI/CD deployment rollback settings without proper authorization, due to insufficient access control checks.
📍 영향받는 시스템
GitLab EE 13.6 ~ 19.2.7, 19.3 ~ 19.3.4, 19.4 ~ 19.4.1
⚔️ 공격 벡터
권한이 제한된 인증된 사용자가 접근 제어 미흡을 악용하여 API 또는 UI를 통해 설정 변경 시도
🛡️ 대응 방법
GitLab EE를 19.2.8, 19.3.5 또는 19.4.2 이상의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(13.6~19.2.7, 19.3.0~19.3.4, 19.4.0~19.4.1)에 해당하면 취약한 상태입니다.
curl -s https://gitlab.example.com/api/v4/version | grep -E '"version":"(13\.[0-9]+|19\.[0-2]\.[0-7]|19\.3\.[0-4]|19\.4\.[0-1])"'