🇰🇷 한글 설명
Gitea 설정에서 모든 저장소를 비공개로 강제하도록 설정하더라도, 새로운 저장소를 생성할 때 push 옵션이 적용되어 저장소가 공개 상태로 변경될 수 있는 취약점입니다. 이로 인해 저장소 생성 권한이 있는 사용자가 인스턴스 정책을 위반하여 자신의 저장소를 공개로 전환할 수 있습니다.
💡 쉬운 설명
비공개로만 저장소를 만들도록 규칙을 정해두어도, 사용자가 특정 명령을 보내면 저장소가 공개로 바뀌어 버리는 문제입니다. 보안 규칙을 우회하여 개인적인 작업물을 누구나 볼 수 있게 만들 수 있습니다.
🇺🇸 원문 (English)
With `[repository] FORCE_PRIVATE = true`, Gitea creates new repositories as private, but the post-receive hook still applied the `repo.private=false` push option to an empty repository created by push. Any user who can create repositories could make their new repository public in violation of the instance policy. The default configuration is not affected.
📍 영향받는 시스템
Gitea (FORCE_PRIVATE = true 설정이 활성화된 인스턴스)
⚔️ 공격 벡터
저장소 생성 권한을 가진 사용자가 push 옵션에 'repo.private=false'를 포함하여 푸시함
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 확인하십시오.