🇰🇷 한글 설명
Gitea가 패키지 크기 제한을 적용하기 전에 Alpine 패키지 업로드를 먼저 처리하며, 압축 해제된 .PKGINFO 데이터의 크기나 의존성 항목 수를 제한하지 않습니다. 패키지 게시 권한이 있는 인증된 사용자가 매우 압축률이 높은 작은 아카이브를 업로드하면, 파싱 및 메타데이터 생성 과정에서 과도한 메모리가 할당되어 시스템 가용성이 중단될 수 있습니다.
💡 쉬운 설명
해커가 아주 작은 파일을 올렸는데, 서버가 이를 처리하는 과정에서 엄청난 양의 메모리를 사용하게 만들어 서버를 멈추게 할 수 있습니다. 이는 서버의 자원을 고갈시켜 서비스를 중단시키는 공격입니다.
🇺🇸 원문 (English)
Gitea parses Alpine package uploads before enforcing package-size quotas and does not bound the decompressed .PKGINFO data or its dependency and provides entry counts. An authenticated user with package-publish permission can upload a small, highly compressed archive that causes disproportionately large memory allocations during parsing and metadata generation. On memory-constrained deployments, this can terminate the process or otherwise disrupt availability.
📍 영향받는 시스템
Gitea (Alpine 패키지 업로드 기능을 사용하는 버전)
⚔️ 공격 벡터
패키지 게시 권한을 가진 인증된 사용자가 압축률이 극도로 높은 악성 Alpine 패키지 업로드
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하고, 패키지 업로드 권한 관리를 강화하십시오.
🔧 검증 코드
출력된 Gitea 버전이 해당 취약점이 해결된 보안 패치 버전인지 확인하십시오.