🇰🇷 한글 설명
Gitea의 'Remember-Me' 토큰 탈취 시 공격자의 세션이 무효화되지 않는 취약점입니다. 공격자가 탈취한 토큰을 사용하여 사용자의 계정에 지속적으로 접근할 수 있습니다.
💡 쉬운 설명
로그인 유지 기능이 담긴 열쇠를 도둑맞아도, 원래 주인이 열쇠를 바꿔도 도둑이 여전히 문을 열 수 있는 상태입니다. 이로 인해 해커가 사용자의 계정을 계속해서 마음대로 사용할 수 있습니다.
🇺🇸 원문 (English)
Gitea Remember-Me Token Theft Not Invalidating Attacker Session
📍 영향받는 시스템
Gitea (패치 전 버전)
⚔️ 공격 벡터
탈취된 Remember-Me 토큰을 이용한 세션 하이재킹
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 최신 릴리스 태그 버전이 보안 패치가 포함된 버전인지 확인하십시오.
curl -s https://api.github.com/repos/go-gitea/gitea/releases/latest | grep -i 'tag_name'