CVE 데이터베이스CVE-2026-112887

최종 갱신 2026-11-06English Advisory →

CVE-2026-1128874.3/MEDIUMCWE-200CWE-862

Gitea Actions 작업 토큰 권한 검증 미흡으로 인한 전체 비공개 저장소 메타데이터 유출 취약점 (CVE-2026-112887)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

gitea

대상 컴포넌트 / 패키지

gitea

권고문 발행일

2026-11-01

CVSS v3.1

4.3

MEDIUM

30일 악용확률

0.3%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Gitea Actions가 활성화된 Gitea v28.3.0 미만 버전

파급 효과

워크플로우를 실행할 수 있는 공격자가 Gitea Actions 작업 토큰을 악용하여 인스턴스 내의 모든 비공개 저장소 및 조직의 메타데이터 목록을 탈취할 수 있습니다

권장 조치

Gitea 인스턴스를 최신 패치 버전(v28.3.0 이상)으로 즉시 업그레이드하십시오

영향받는 제품 및 버전 범위

Gitea v28.3.0 미만 버전 중 Gitea Actions 기능이 활성화된 환경

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Gitea 공식 보안 패치가 적용된 v28.3.0 이상 버전으로 업그레이드를 수행하십시오. Docker 환경을 사용하는 경우 아래 명령어를 통해 최신 이미지로 업데이트할 수 있습니다.

bash

# Docker Compose 환경 업그레이드 예시
docker compose pull gitea
docker compose up -d

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Gitea 설정 파일(app.ini)에서 Gitea Actions 기능을 일시적으로 비활성화하여 위협을 완화할 수 있습니다.

ini

; /data/gitea/conf/app.ini 파일 수정
[actions]
ENABLED = false

설정 변경 후 Gitea 서비스를 재시작하십시오.

bash

systemctl restart gitea

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Gitea API 접근 로그에서 Actions 작업 토큰을 사용한 비정상적인 GET /api/v1/user/repos 호출 이력을 모니터링하십시오. 아래 스크립트를 통해 로그 내 의심스러운 요청을 탐지할 수 있습니다.

bash

# Gitea HTTP 접근 로그에서 Actions 토큰을 통한 user/repos 호출 탐지
grep 'GET /api/v1/user/repos' /var/log/gitea/gitea.log | grep -E '200|206'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

Gitea Actions를 사용하는 환경에서는 비공개 저장소 정보 유출을 방지하기 위해 즉시 Gitea v28.3.0 이상으로 업그레이드하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Gitea Actions의 작업 토큰(Task Token) 인증 메커니즘과 REST API의 권한 검증 로직 간의 상호작용 결함으로 인해 발생합니다. Gitea Actions 작업 토큰은 음수 ID(Negative ID)를 가진 공유 시스템 사용자(Shared System User) 권한으로 REST API에 인증됩니다. 그러나 Gitea 내부의 저장소, 조직, 프로젝트 및 키 필터링 로직이 이 음수 ID를 '소유자 제한이 없는 상태'로 잘못 처리하였으며, 해당 토큰에 사용자 범위 API 경로를 제한하는 적절한 API 스코프(Scope)가 부여되지 않았습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

워크플로우를 실행할 권한이 있는 사용자는 악의적인 CI/CD 파이프라인을 구성하여 실행 중인 Job의 토큰을 가로챌 수 있습니다. 이 토큰을 사용하여 GET /api/v1/user/repos API 엔드포인트를 호출하면, 시스템은 소유자 제한 필터가 누락된 것으로 판단하여 인스턴스 내에 존재하는 다른 사용자 및 조직의 모든 비공개 저장소(Private Repository) 목록과 해당 메타데이터를 반환합니다. 비록 개별 저장소의 실제 소스 코드 콘텐츠는 별도의 권한 검증을 통해 보호되지만, 조직 구조, 프로젝트 이름, 저장소 목록 등의 민감한 메타데이터가 완전히 노출되는 정보 유출 피해가 발생합니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 멀티테넌트(Multi-tenant) 환경이나 기업 내부에서 공유되는 Gitea 인스턴스에서 심각한 보안 위협이 됩니다. 공격자는 노출된 비공개 저장소 목록과 메타데이터를 기반으로 기업의 내부 프로젝트 구조, 개발 중인 신제품 정보, 내부 자산 명칭 등을 파악할 수 있으며, 이를 통해 2차 표적 공격(Targeted Attack)을 설계할 수 있는 정찰(Reconnaissance) 정보를 획득하게 됩니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Gitea Actions task tokens authenticate to the REST API as a shared system user with a negative ID, which repository, organization, project and key filters treated as having no owner restriction, and the token carried no API scope to restrict user-scoped routes. A user who can run a workflow could use the job's token with `GET /api/v1/user/repos` to list every repository on the instance, including private repositories of other users and organizations, with their metadata. Repository contents remained protected by per-repository permission checks. System users now own nothing, and `/api/v1/user` routes other than `GET /api/v1/user` accept only individual and bot accounts.

https://blog.gitea.com/release-of-28.3.0/

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2

https://github.com/go-gitea/gitea/pull/39945

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2

https://github.com/go-gitea/gitea/pull/40115

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2

https://github.com/go-gitea/gitea/releases/tag/v28.3.0

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2

https://github.com/go-gitea/gitea/security/advisories/GHSA-8r36-6j2c-3gmv

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2