🇰🇷 한글 설명
Gitea의 starred-repository 및 tracked-time API 엔드포인트가 데이터를 반환하기 전에 현재 저장소 권한을 다시 확인하지 않는 취약점입니다. 이로 인해 비공개 저장소에 대한 접근 권한이 취소된 사용자라도 기존에 생성된 관계를 통해 저장소 메타데이터나 이슈 제목을 여전히 조회할 수 있습니다.
💡 쉬운 설명
저장소 접근 권한이 삭제되었음에도 불구하고, 특정 API를 통해 과거에 남긴 기록을 통해 비공개 정보를 몰래 볼 수 있는 문제입니다. 권한이 없어진 사용자가 예전에 별표(Star)를 눌렀거나 작업 시간을 기록했던 정보를 통해 정보를 유출할 수 있습니다.
🇺🇸 원문 (English)
Gitea's starred-repository and tracked-time API endpoints do not re-check current repository permissions before returning data associated with the requesting user. A user whose access to a private repository has been revoked can still retrieve repository metadata through /api/v1/user/starred and private issue titles through /api/v1/user/times. The disclosure depends on relationships or tracked-time entries created before access was revoked.
📍 영향받는 시스템
Gitea (권한 확인 로직이 누락된 버전)
⚔️ 공격 벡터
권한이 취소된 사용자가 특정 API 엔드포인트(/api/v1/user/starred, /api/v1/user/times)에 요청을 보내 데이터를 탈취
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하여 API 호출 시 권한 재검증 로직을 적용해야 함
🔧 검증 코드
권한이 없는 계정으로 API 호출 시 비공개 저장소의 정보가 결과에 포함되어 출력되면 취약한 상태임
curl -s -u 'username:password' http/localhost:3000/api/v1/user/starred | grep -i 'private_repo_name'