🇰🇷 한글 설명
Gitea의 OAuth2 및 OpenID Connect 로그인 경로에서 WebAuthn이 유일한 2단계 인증 수단일 경우 WebAuthn 챌린지를 요구하지 않는 취약점이 발견되었습니다. 외부 인증 흐름을 통해 인증에 성공한 공격자는 패스키 검증 없이 전체 세션을 획득할 수 있으며, 일부 경로에서는 외부 계정 연결을 유지하여 피해를 지속시킬 수 있습니다.
💡 쉬운 설명
로그인할 때 보안을 위해 요구되는 '지문이나 보안 키(WebAuthn)' 확인 절차를 우회할 수 있는 문제입니다. 외부 서비스로 로그인할 때 이 보안 단계가 생략되어 계정이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
Gitea's OAuth2 and OpenID Connect sign-in paths do not require a WebAuthn challenge when WebAuthn is the account's only configured second factor. A party able to authenticate through the affected external identity flow can obtain a full session without the passkey verification enforced during password login. One affected path can also persist an external identity link, extending the compromise beyond the initial session; accounts with TOTP configured are outside the reported WebAuthn-only scenario.
📍 영향받는 시스템
WebAuthn을 유일한 2단계 인증 수단으로 사용하는 Gitea 시스템
⚔️ 공격 벡터
취약한 OAuth2/OpenID Connect 인증 흐름을 통한 패스키 검증 우회 및 세션 탈취
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하고, 가능한 경우 TOTP 등 추가적인 2단계 인증 수단을 병행 사용하십시오.
🔧 검증 코드
출력된 Gitea 버전이 해당 취약점이 해결된 패치 버전인지 공식 보안 공지를 통해 확인하십시오.
curl -s http://<gitea-instance>/api/v1/version | grep -E 'version'