🇰🇷 한글 설명
오픈 소스 Git 서비스인 Gogs의 0.14.3 미만 버전에서 발생하는 취약점입니다. 웹훅(webhook) 기능이 리다이렉트를 허용함에 따라, 공격자가 로컬 네트워크 주소(localCIDRs)로 리다이렉트시켜 내부망 자원에 접근할 수 있습니다. 이 문제는 0.14.3 버전에서 수정되었습니다.
💡 쉬운 설명
Gogs라는 프로그램의 웹훅 기능이 외부 주소를 내부 네트워크 주소로 몰래 연결해주는 결함이 있습니다. 이를 통해 공격자가 회사의 내부 시스템에 몰래 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Gogs is an open source self-hosted Git service. Prior to 0.14.3, the fix for CVE-2022-1285 prevents adding webooks or running webhooks with URLs with a hostname that resolves in localCIDRs. However, webhooks still follow redirects allowing to access hostname inside localCIDRs. This vulnerability is fixed in 0.14.3.
📍 영향받는 시스템
Gogs 0.14.3 미만 모든 버전
⚔️ 공격 벡터
웹훅 URL에 리다이렉트가 포함된 주소를 입력하여 내부 네트워크(localCIDR)로 접근 시도
🛡️ 대응 방법
Gogs를 최신 버전인 0.14.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.14.3보다 낮은지 확인하십시오.
curl -s http://<GOGS_HOST>:<PORT>/api/version | grep -E '0\.[0-9]+\.[0-9]+'