🇰🇷 한글 설명
Gitea의 조직 목록 API가 read:organization 토큰 범위를 강제하지 않는 취약점이 발견되었습니다. 이로 인해 read:misc와 같이 다른 권한만 가진 토큰으로도 조직 메타데이터를 조회할 수 있으며, 관리자 토큰의 경우 제한되거나 비공개된 조직 정보까지 노출될 수 있습니다.
💡 쉬운 설명
특정 권한만 가진 사용자가 원래는 볼 수 없는 조직의 정보를 몰래 훔쳐볼 수 있는 보안 허점입니다. 권한 설정이 제대로 작동하지 않아 비공개 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Gitea's organization-list API does not enforce the read:organization token scope. A token limited to another category, such as read:misc, can retrieve organization metadata visible to its owner. For a site administrator's token, the response can include Limited and private organizations, bypassing the intended restriction on the token's delegated access.
📍 영향받는 시스템
Gitea (조직 목록 API를 사용하는 모든 버전)
⚔️ 공격 벡터
제한된 권한(예: read:misc)을 가진 API 토큰을 사용하여 조직 목록 API에 요청을 보냄
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하고 API 토큰 권한 검증 로직을 확인하십시오.
🔧 검증 코드
제한된 권한의 토큰으로 호출했을 때 비공개 조직의 정보가 JSON 응답에 포함되어 출력되면 취약한 상태입니다.
curl -s -H "Authorization: token <LIMITED_TOKEN>" https://<gitea-instance>/api/v1/orgs | grep -E 'login|id'