🇰🇷 한글 설명
Gitea 1.26.2 이하 버전에서 웹훅 및 마이그레이션 허용 목록 필터링의 SSRF(서버 측 요청 위조) 보호가 불완전합니다. 이 취약점을 통해 공격자는 서버를 경유하여 내부 네트워크로 요청을 보낼 수 있습니다.
💡 쉬운 설명
Gitea 서버가 외부의 잘못된 요청을 걸러내지 못해, 공격자가 서버를 조종하여 내부 네트워크의 다른 컴퓨터를 공격하게 만들 수 있는 문제입니다. 마치 배달원이 집 안까지 들어오도록 허용하는 것과 같습니다.
🇺🇸 원문 (English)
Gitea versions up to and including 1.26.2 have incomplete SSRF protection in webhook and migration allow-list filtering.
📍 영향받는 시스템
Gitea versions up to and including 1.26.2
⚔️ 공격 벡터
웹훅 또는 마이그레이션 설정 시 필터링을 우회하여 내부 네트워크로 SSRF 공격 수행
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전(1.26.3 이상 권장)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.26.2 이하인지 확인하여 취약 여부를 판단합니다.
curl -s http://localhost:3000/api/version | grep -E 'version'