🇰🇷 한글 설명
GitLab CE/EE의 Project Access Token 권한 검증 오류로 인해 관리자가 차단한 토큰이 여전히 비공개 리소스에 접근할 수 있는 취약점이다. 18.9부터 19.0 사이의 여러 버전에서 발견되었으며, 권한 확인 로직의 결함이 원인이다.
💡 쉬운 설명
GitLab의 차단된 접근 토큰이 실제로는 차단되지 않아 민감한 데이터에 계속 접근 가능한 문제이다. 관리자가 토큰을 비활성화해도 시스템이 제대로 확인하지 않는다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.9 before 18.10.7, 18.11 before 18.11.4, and 19.0 before 19.0.1 that under certain conditions could have allowed a blocked Project Access Token to continue accessing private resources due to incorrect authorization enforcement.
📍 영향받는 시스템
GitLab CE/EE 18.9~18.10.6, 18.11~18.11.3, 19.0~19.0.0
⚔️ 공격 벡터
차단된 Project Access Token을 API 요청에 사용하여 비공개 프로젝트 리소스에 무단 접근
🛡️ 대응 방법
GitLab을 18.10.7, 18.11.4, 또는 19.0.1 이상으로 즉시 업그레이드하거나 의심되는 토큰 재발급
🔧 검증 코드
명령어 실행 결과가 18.10.7 이상, 18.11.4 이상, 또는 19.0.1 이상인지 확인한다. 숫자가 표시되지 않으면 GitLab이 설치되지 않았거나 다른 설치 방식을 사용하는 것이다.
dpkg -l gitlab-ce 2>/dev/null | grep gitlab-ce | awk '{print $3}'