🇰🇷 한글 설명
Gogs 오픈소스 Git 서비스의 0.14.3 미만 버전에서 조직 팀원 관리에 CSRF 보호가 누락된 취약점이 발견되었습니다. 공격자가 조작된 링크를 통해 로그인된 조직 소유자에게 클릭을 유도하면, 공격자 계정을 조직 소유자 권한으로 추가할 수 있습니다.
💡 쉬운 설명
로그인된 관리자가 나쁜 의도로 만들어진 링크를 클릭하기만 해도, 공격자가 관리자 권한을 몰래 획득할 수 있는 보안 결함입니다. 이를 통해 공격자는 조직의 모든 제어권을 가질 수 있게 됩니다.
🇺🇸 원문 (English)
Gogs is an open source self-hosted Git service. Prior to 0.14.3, organization team member management can be performed via GET requests without CSRF protection. If a victim who is an organization owner is logged in and is tricked into visiting a crafted link, an attacker-controlled user can be added to the Owners team. As a result, the attacker gains organization owner–equivalent privileges. This vulnerability is fixed in 0.14.3.
📍 영향받는 시스템
Gogs versions prior to 0.14.3
⚔️ 공격 벡터
CSRF(사이트 간 요청 위조)를 이용한 조작된 GET 요청 링크 클릭 유도
🛡️ 대응 방법
Gogs 버전을 0.14.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.14.3 미만이면 취약한 상태이며, 0.14.3 이상이면 안전합니다.
curl -s http://<target-gogs-url>/app/gogs/version | grep -E '0\.[0-9]+\.[0-9]+'