🇰🇷 한글 설명
Gogs 오픈소스 Git 서비스의 Mirror Settings 기능에서 발생하는 취약점입니다. 0.14.3 이전 버전에서 SaveAddress 함수의 검증 미흡으로 인해, 인증된 사용자가 보안이 강화된 New Migration 기능 대신 다른 경로로 로컬 저장소를 가져올 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 원래 허용되지 않은 방식으로 외부의 저장소를 자신의 서버로 몰래 가져올 수 있는 문제입니다. 이로 인해 보안 설정이 우회될 위험이 있습니다.
🇺🇸 원문 (English)
Gogs is an open source self-hosted Git service. Prior to 0.14.3, the Gogs Mirror Settings functionality provide an alternative way from the well protected New Migration functionality for any authenticated users to import local repositories. This issue stems from a lack of validation of SaveAddress function. This vulnerability is fixed in 0.14.3.
📍 영향받는 시스템
Gogs 버전 0.14.3 미만
⚔️ 공격 벡터
인증된 사용자가 Mirror Settings의 SaveAddress 함수를 악용하여 검증되지 않은 주소로 저장소를 미러링함
🛡️ 대응 방법
Gogs를 최신 버전인 0.14.3 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 0.14.3 미만의 버전 번호가 출력되면 취약한 상태입니다.
curl -s http://<GOGS_URL>/app/gogs/version | grep -E '0\.[0-1][0-4]\.[0-2]'