🇰🇷 한글 설명
1.26.1 버전 이하의 Gitea에서 베어러 토큰(bearer token)을 사용한 Git smart HTTP 요청 시 저장소 토큰 범위 검사를 우회할 수 있는 취약점이 발견되었습니다. 이로 인해 권한이 제한된 토큰으로도 허용되지 않은 저장소에 접근할 수 있습니다.
💡 쉬운 설명
로그인용 열쇠(토큰)가 가진 권한보다 더 많은 방에 들어갈 수 있는 보안 구멍이 발견되었습니다. 특정 권한만 가진 사용자가 다른 사람의 비밀 저장소까지 몰래 볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Gitea versions up to and including 1.26.1 allow Git smart HTTP requests authenticated with bearer tokens to bypass repository token scope checks.
📍 영향받는 시스템
Gitea versions up to and including 1.26.1
⚔️ 공격 벡터
인증된 베어러 토큰을 이용한 Git smart HTTP 요청을 통한 권한 우회
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전(1.26.2 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.26.1 이하인지 확인하여 취약 여부를 판단합니다.
curl -s http://<gitea-url>/api/version | grep -E 'version'