🇰🇷 한글 설명
Gogs 0.14.3 미만 버전에서 이슈 인덱스 패턴을 특수하게 구성할 경우 렌더링 과정에서 패닉이 발생하여 서비스 거부(DoS) 상태가 될 수 있습니다. 내부 마크업 처리 중 닫는 중괄호가 없는 패턴을 처리할 때 슬라이싱 오류가 발생하여 해당 저장소의 모든 이슈 참조 페이지를 사용할 수 없게 만듭니다.
💡 쉬운 설명
Gogs 서비스의 설정값에 특정 기호를 잘못 입력하면 프로그램이 갑자기 멈춰버리는 취약점입니다. 이로 인해 사용자들이 이슈 관련 페이지를 볼 수 없게 되어 서비스 이용에 차질이 생길 수 있습니다.
🇺🇸 원문 (English)
Gogs is an open source self-hosted Git service. Prior to 0.14.3, specially crafted issue index pattern can cause a panic when rendering, resulting in denial of service. In internal/markup/markup.go, RenderIssueIndexPattern renders the issue index pattern to a link using com.Expand, which is not safe: when the configured pattern contains an opening brace { but no closing brace }, strings.Index(template, "}") returns -1 and the subsequent slice template[:-1] triggers a panic. Once such a pattern is set, any page in the affected repository that contains an issue index reference such as #1 becomes unavailable. This vulnerability is fixed in 0.14.3.
📍 영향받는 시스템
Gogs 0.14.3 미만 모든 버전
⚔️ 공격 벡터
악의적으로 조작된 이슈 인덱스 패턴 설정 (Denial of Service)
🛡️ 대응 방법
Gogs를 0.14.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.14.3 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>:<port>/api/version | grep -E '0\.[0-1][0-4]\.[0-3]'