Gogs Git HTTP 권한 검사 오류로 읽기 권한자가 비공개 저장소에 쓸 수 있는 문제
읽기만 허락받은 사람이 비공개 코드 저장소를 고칠 수 있습니다.
요약
Gogs 0.14.3의 Git HTTP 권한 검사가 URL의 대소문자 차이를 잘못 처리해, 읽기 전용 협업자가 비공개 저장소에 푸시할 수 있습니다. 로그인한 사용자만 악용할 수 있습니다.
해당 조건
- Gogs 0.14.3 또는 같은 코드의 빌드
- 인증된 읽기 전용 협업자 계정
- 대상이 비공개 저장소
대처법
출처에 수정 버전이 나와 있지 않습니다. 수정된 최신 빌드로 업데이트하고 제작사 공지를 확인하세요. 당장 못 하면 리버스 프록시에서 owner/repo 뒤 Git 요청 경로에 대문자가 있으면 차단하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: humanoid.sh (새 탭에서 열림) · github.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인