🇰🇷 한글 설명
Gitea의 풀 리퀘스트 리뷰 알림 기능이 알림에 해당 풀 리퀘스트 정보를 첨부하지 않는 결함이 있습니다. 이로 인해 포크된 워크플로우 승인 게이트가 실행 출처를 제대로 인식하지 못하며, 리뷰 댓글이나 승인/거절 이벤트 발생 시 포크된 코드의 워크플로우를 베이스 저장소의 러너에서 승인 없이 실행할 수 있습니다.
💡 쉬운 설명
외부에서 가져온 코드가 승인 절차를 우회하여 서버에서 자동으로 실행될 수 있는 보안 허점입니다. 공격자가 리뷰 댓글을 다는 것만으로도 허가되지 않은 코드를 실행시켜 시스템을 위험에 빠뜨릴 수 있습니다.
🇺🇸 원문 (English)
Gitea's pull request review notifier does not attach the pull request to the Actions notification, so the fork workflow approval gate does not recognize the run as originating from a fork. Review comment and review approval or rejection events can consequently load workflow code from the fork head and run it on the base repository's runners without the required maintainer approval. This allows execution of fork-controlled workflow code across the intended approval boundary.
📍 영향받는 시스템
Gitea (Pull Request Review Notifier 기능 사용 시)
⚔️ 공격 벡터
포크된 저장소의 PR에 리뷰 댓글 또는 승인/거절 이벤트를 발생시켜 승인 없이 워크플로우 코드 실행 유도
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하고, 포크된 워크플로우에 대한 승인 정책을 재점검하십시오.
🔧 검증 코드
출력된 Gitea 버전이 해당 취약점이 해결된 보안 패치 버전인지 공식 보안 공지를 통해 확인하십시오.