🇰🇷 한글 설명
배포 키(Deploy Key)를 통해 인증된 푸시 작업 시, Gitea가 푸셔를 배포 키가 아닌 저장소 소유자로 잘못 기록하는 취약점입니다. 이로 인해 권한 확인 과정에서 오류가 발생하여, 권한이 없는 사용자가 보호된 태그를 생성하거나 저장소의 공개 여부를 변경할 수 있습니다.
💡 쉬운 설명
배포용 열쇠를 가진 사람이 마치 저장소 주인인 것처럼 행동할 수 있는 보안 허점이 발견되었습니다. 이를 통해 허가되지 않은 설정을 바꾸거나 개인 저장소를 누구나 볼 수 있게 공개할 위험이 있습니다.
🇺🇸 원문 (English)
When a push was authenticated with a deploy key, Gitea recorded the repository owner as the pusher, so permission checks in the push hook pipeline evaluated the owner instead of the deploy key. A holder of a writable deploy key could create protected tags without being on the tag allow list and change repository visibility through push options, for example making a private repository public. Pull requests created through the AGit flow with a deploy key were also attributed to the owner.
📍 영향받는 시스템
Gitea (배포 키를 사용하는 환경)
⚔️ 공격 벡터
쓰기 권한이 있는 배포 키를 사용하여 보호된 태그 생성 및 푸시 옵션을 통한 저장소 가시성 변경
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 해당 취약점이 해결된 패치 버전인지 공식 보안 공지(Advisory)와 대조하여 확인하십시오.