🇰🇷 한글 설명
Gitea Docker 이미지 1.26.2 버전 이하에서 REVERSE_PROXY_TRUSTED_PROXIES 설정이 기본적으로 모든 IP(*)로 설정되어 있습니다. 이로 인해 X-WEBAUTH-USER와 같은 역방향 프록시 인증 헤더가 활성화된 경우, 공격자가 임의의 소스 IP를 사용하여 사용자를 사칭할 수 있습니다.
💡 쉬운 설명
Gitea라는 프로그램의 설정 오류로 인해, 나쁜 사람이 마치 다른 사용자인 것처럼 속여서 로그인할 수 있는 보안 구멍이 발견되었습니다. 공격자가 가짜 신분증을 내밀어도 시스템이 이를 검증하지 않고 그대로 믿어버리는 상황입니다.
🇺🇸 원문 (English)
Gitea Docker image versions up to and including 1.26.2 use REVERSE_PROXY_TRUSTED_PROXIES=* by default, allowing any source IP to impersonate a user when reverse-proxy authentication headers such as X-WEBAUTH-USER are enabled.
📍 영향받는 시스템
Gitea Docker image versions up to and including 1.26.2
⚔️ 공격 벡터
역방향 프록시 인증 헤더(X-WEBAUTH-USER 등)를 조작하여 사용자 권한을 탈취하는 IP 스푸핑 공격
🛡️ 대응 방법
REVERSE_PROXY_TRUSTED_PROXIES 설정을 '*' 대신 실제 신뢰할 수 있는 프록시 서버의 IP 주소로 제한하십시오.
🔧 검증 코드
명령어 결과에 'REVERSE_PROXY_TRUSTED_PROXIES=*'가 포함되어 있다면 취약한 상태입니다.
docker inspect gitea | grep -i 'REVERSE_PROXY_TRUSTED_PROXIES'