🇰🇷 한글 설명
Gitea 1.26.2 이하 버전에서 Git LFS 객체 재사용 취약점이 발견되었습니다. 이로 인해 저장소 접근 권한은 있으나 코드 유닛(Code-unit) 접근 권한이 없는 사용자가 비공개 소스 객체에 접근할 수 있습니다.
💡 쉬운 설명
저장소에는 들어올 수 있지만 특정 파일은 못 보게 설정된 사용자가, Git LFS라는 기능을 이용해 몰래 숨겨진 파일을 볼 수 있는 보안 구멍입니다. 권한 설정이 제대로 작동하지 않아 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Gitea versions up to and including 1.26.2 allow Git LFS object reuse to authorize private source objects for users who have repository access but lack Code-unit access.
📍 영향받는 시스템
Gitea 1.26.2 및 그 이전의 모든 버전
⚔️ 공격 벡터
권한이 제한된 사용자가 Git LFS 객체 재사용 메커니즘을 악용하여 비공개 데이터에 접근
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전(1.26.3 이상 또는 최신 안정 버전)으로 업데이트
🔧 검증 코드
출력된 버전 정보가 1.26.2 이하인지 확인하여 취약 여부를 판단합니다.
curl -s http://<gitea-instance>/api/version | grep -E 'version'