🇰🇷 한글 설명
Woodpecker 3.15.0 이전 버전에서 /api/orgs/lookup/*org_full_name 엔드포인트가 인증 미들웨어 없이 등록되어 있으며, LookupOrg 핸들러가 세션 사용자를 검증 없이 역참조합니다. 인증되지 않은 요청은 NULL 포인터 역참조 패닉을 발생시키고, gin 복구 미들웨어가 이를 처리하여 HTTP 500을 반환하지만 요청마다 긴 패닉 스택 트레이스가 에러 로그에 기록됩니다. 공격자는 저대역폭으로도 반복 요청을 보내 로그를 대량으로 생성할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 사람도 특정 주소로 요청을 보낼 수 있고, 그때마다 서버가 오류 기록을 길게 남깁니다. 이를 반복하면 디스크가 차고 정상적인 로그가 묻혀 운영에 부담이 됩니다.
🇺🇸 원문 (English)
Woodpecker before 3.15.0 registers the /api/orgs/lookup/*org_full_name endpoint without authentication middleware, and the LookupOrg handler unconditionally dereferences the session user (user.ForgeID, via ForgeFromUser) when selecting the forge to query. For an unauthenticated request session.User returns nil, so any unauthenticated HTTP request triggers a NULL pointer dereference in the handler. The panic is recovered by gin recovery middleware and the server continues serving (returning HTTP 500), but each request writes a multi-line panic stack trace to the error log. A low-bandwidth unauthenticated attacker can repeatedly probe the endpoint to flood the logs (about 37 lines per request), inflating disk usage and downstream log-ingestion cost and burying legitimate log events.
📍 영향받는 시스템
Woodpecker CI 3.15.0 이전 버전
⚔️ 공격 벡터
인증 없이 /api/orgs/lookup/ 경로에 반복적으로 HTTP 요청을 보내 에러 로그를 대량 생성
🛡️ 대응 방법
Woodpecker를 3.15.0 이상으로 업그레이드하고, 해당 엔드포인트에 인증 미들웨어를 적용하며, 로그 로테이션 및 모니터링을 강화
🔧 검증 코드
출력된 버전이 3.15.0 미만이면 취약하며, 3.15.0 이상이면 패치가 적용된 것입니다.
woodpecker-server --version 2>/dev/null || docker exec woodpecker-server woodpecker-server --version 2>/dev/null