🇰🇷 한글 설명
Gitea의 협업 소유자 권한 설정 오류로 인해, 포크된 저장소의 풀 리퀘스트 실행 시 다른 비공개 저장소의 재사용 가능한 워크플로우 파일을 읽을 수 있는 취약점이 존재합니다. 이 문제는 공격자가 선택한 Git 참조를 통해 비공개 워크플로우 내용을 노출시키지만, 직접적인 쓰기 권한이나 코드 실행 권한을 부여하지는 않습니다.
💡 쉬운 설명
외부에서 가져온 코드가 실행될 때, 원래는 볼 수 없어야 하는 다른 비밀 프로젝트의 설정 파일 내용을 몰래 읽어갈 수 있는 문제입니다. 다만, 파일을 읽는 것까지만 가능하며 프로젝트를 직접 수정하거나 망가뜨릴 수는 없습니다.
🇺🇸 원문 (English)
Gitea's collaborative-owner authorization path for reading cross-repository reusable workflows does not exclude fork pull request runs. An approved fork workflow targeting a private repository can read workflow files from another private repository that trusts the base repository's owner through collaborative-owner configuration. The issue exposes private reusable workflow contents at caller-selected Git refs; it does not itself grant write access or code execution in the other repository.
📍 영향받는 시스템
Gitea (collaborative-owner 권한 설정이 활성화된 환경)
⚔️ 공격 벡터
신뢰된 소유자의 저장소를 포크한 후, 워크플로우 실행을 통해 다른 비공개 저장소의 재사용 가능한 워크플로우 파일을 호출하여 내용을 탈취
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 워크플로우 재사용 시 권한 범위를 재검토하십시오.
🔧 검증 코드
출력된 Gitea 버전이 취약점이 해결된 최신 패치 버전인지 확인하십시오.
curl -s http://<gitea-url>/api/v1/version | grep -E 'version'