🇰🇷 한글 설명
GitLab의 서비스 데스크 이메일 템플릿 처리 과정에서 부적절한 중화 처리로 인해, 비인증 사용자가 GitLab 지원 봇을 사칭하여 임의의 콘텐츠를 주입할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab CE/EE의 15.9부터 18.10.8 미만, 18.11부터 18.11.5 미만, 19.0부터 19.0.2 미만 버전에서 영향을 미칩니다.
💡 쉬운 설명
GitLab의 이메일 자동 응답 기능이 제대로 검증되지 않아, 해커가 시스템 봇인 것처럼 가장하여 악성 메시지를 보낼 수 있습니다. 이는 사용자를 속이거나 시스템에 원치 않는 데이터를 삽입하는 데 이용될 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.9 before 18.10.8, 18.11 before 18.11.5, and 19.0 before 19.0.2 that under certain conditions, could have allowed an unauthenticated user to impersonate the GitLab Support Bot and inject arbitrary content via a specially crafted Service Desk email reply due to improper neutralization in email template processing.
📍 영향받는 시스템
GitLab CE/EE 15.9-18.10.7, 18.11-18.11.4, 19.0-19.0.1
⚔️ 공격 벡터
서비스 데스크 이메일 답장을 통해 템플릿 처리 과정의 결함을 악용하여 봇 사칭 및 콘텐츠 주입
🛡️ 대응 방법
GitLab을 권장 버전(18.10.8 이상, 18.11.5 이상, 19.0.2 이상)으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 18.10.8, 18.11.5, 19.0.2 이상인지 확인하여 패치되었는지 검증합니다.
curl -s https://packages.gitlab.com/api/packages/gitlab-ce | grep -o '"version":"[^"]*"' | head -n 1