🇰🇷 한글 설명
Gitea의 마이그레이션 URL 검증 과정에서 ALLOWED_DOMAINS 설정이 와일드카드(*)로 되어 있을 경우, 로컬 네트워크 차단 설정(ALLOW_LOCALNETWORKS=false)이 되어 있더라도 예약된 주소나 링크 로컬 주소(예: 169.254.169.254)에 접근할 수 있는 취약점입니다. 호스트 이름이 허용 목록과 일치하면 실제 IP 주소의 검증을 우회하여 내부 네트워크로의 접근이 가능해집니다.
💡 쉬운 설명
Gitea 설정에서 특정 도메인을 허용하도록 설정했을 때, 공격자가 이를 악용하여 서버 내부의 비밀스러운 네트워크 주소에 몰래 접속할 수 있는 문제입니다. 보안 설정이 되어 있어도 특정 주소들을 걸러내지 못해 발생하는 허점입니다.
🇺🇸 원문 (English)
With `[migrations] ALLOWED_DOMAINS` set to a matching entry such as `*` or a hostname wildcard, Gitea's migration URL validation could permit reserved and link-local addresses, such as `169.254.169.254`, even when `ALLOW_LOCALNETWORKS = false`. The local-network block list did not cover these ranges, and a hostname matching the allow list was accepted regardless of its resolved address. A user who can start migrations on such an instance could reach these addresses from the Gitea server; the default empty `ALLOWED_DOMAINS` configuration is not affected.
📍 영향받는 시스템
Gitea (ALLOWED_DOMAINS에 '*' 또는 와일드카드 호스트네임이 설정된 경우)
⚔️ 공격 벡터
마이그레이션 기능을 사용하여 허용된 도메인 형식을 갖춘 내부 네트워크 주소(SSRF)로 요청을 보냄
🛡️ 대응 방법
Gitea를 최신 보안 패치 버전으로 업데이트하거나, ALLOWED_DOMAINS 설정을 와일드카드 대신 구체적인 도메인으로 제한하십시오.
🔧 검증 코드
출력된 Gitea 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 확인하십시오.