🇰🇷 한글 설명
Seven Gitea API 경로에서 대상 사용자의 가시성을 확인하는 미들웨어가 누락되어 인증된 사용자가 비공개 사용자의 팔로워, 팔로잉, 별표 표시된 저장소 및 공개 키 정보를 읽을 수 있는 취약점이 발견되었습니다. 이 문제는 1.27.3 및 28.0.0 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자가 원래는 볼 수 없어야 하는 다른 사람의 개인적인 활동 정보나 보안 키를 몰래 훔쳐볼 수 있는 문제입니다. 시스템 설정 오류로 인해 정보 보호를 위한 확인 절차가 빠져 있었습니다.
🇺🇸 원문 (English)
Seven Gitea API routes under `/api/v1/users/{username}` (followers, following, following/{target}, starred, subscriptions, keys and gpg_keys) were registered without the `individualPermsChecker` middleware that enforces the visibility of the target user. An authenticated user could therefore read the followers, following list, starred and watched repositories and public SSH and GPG keys of a user with limited or private visibility, whom they could not otherwise see. The issue was fixed in 1.27.3 and 28.0.0 and disclosed with 28.2.0.
📍 영향받는 시스템
Gitea 1.27.3 미만 버전 및 28.0.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 특정 API 경로를 통해 권한이 없는 타 사용자의 정보를 요청하여 탈취
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전(1.27.3 또는 28.0.0 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.27.3 또는 28.0.0 이상인지 확인하여 취약 여부를 판단합니다.
curl -s http://<gitea-instance>/api/version | grep -E '"version": "(1\.[0-9]+\.[0-9]+|2[8]\.[0-9]+\.[0-9]+)"'