Katalog podatności CVE

Endpoint Gitea odpowiedzialny za odznakę statusu workflow Actions nie egzekwuje zakresu odczytu repozytorium ani ograniczenia wyłącznie do publicznych repozytoriów dla tokenu uwierzytelniającego żądanie. Token bez uprawnienia read:repository lub ograniczony do repozytoriów publicznych może pobrać najnowszy status workflow prywatnego repozytorium dostępnego dla jego właściciela. Ujawnia to prywatny status workflow poza zamierzonymi uprawnieniami delegowanymi tokenu.

Endpoint Gitea do renderowania znaczników repozytorium rozwiązuje odwołania do pull requestów w tym samym repozytorium bez egzekwowania uprawnienia Pull Requests przeglądającego. Członek z dostępem tylko do Wiki w prywatnym repozytorium może wysłać żądanie podglądu znaczników i pobrać tytuł oraz ikonę stanu prywatnego pull requesta, mimo braku dostępu do Issues i Pull Requests. Ujawnia to metadane pull requestów w poprzek uprawnień jednostek repozytorium.

W Gitea, notyfikator przeglądu pull request nie dołącza pull requesta do powiadomienia Actions, przez co bramka zatwierdzania dla forków nie rozpoznaje uruchomienia jako pochodzącego z forka. Zdarzenia komentarzy i zatwierdzeń/odrzuceń przeglądu mogą załadować kod workflow z forka i uruchomić go na runnerach bazowego repozytorium bez wymaganego zatwierdzenia przez opiekuna.

API listy organizacji w Gitea nie egzekwuje zakresu tokenu read:organization. Token ograniczony do innej kategorii, np. read:misc, może pobrać metadane organizacji widoczne dla jego właściciela. W przypadku tokenu administratora serwisu odpowiedź może zawierać organizacje Limited i prywatne, omijając zamierzone ograniczenie delegowanego dostępu tokenu.

Współdzielony helper porównywania w Gitea pomija sprawdzenie dostępu tokenu do repozytorium stosowane przy aktualizacji pull requestów. Token public-only z zakresem read:repository może przeprowadzić porównanie lub utworzenie pull requesta przez publiczne repozytorium bazowe i pobrać historię commitów oraz różnice z prywatnego repozytorium head dostępnego dla właściciela tokenu. Omija to ograniczenie public-only tokenu; nie usuwa to podstawowych sprawdzeń uprawnień repozytorium konta.

Gitea tworzy katalogi i skrypty hooków Git po stronie serwera z uprawnieniami 0777 i polega na umask procesu w celu ograniczenia dostępu. Przy permisywnym umask, takim jak 0000 lub 0002, inny lokalny użytkownik mogący dotrzeć do magazynu repozytorium może zmodyfikować hook lub dodać plik wykonywalny do zapisywalnego katalogu hooków. Późniejsza operacja Git może wykonać ten plik jako konto usługi Gitea.

API migracji repozytoriów w Gitea akceptuje token public-only, gdy żądanie określa utworzenie prywatnego repozytorium. Delegowany token przeznaczony do działania tylko na zasobach publicznych może utworzyć prywatne repozytorium i zadanie migracji na koncie autoryzującym lub w organizacji, w której ten użytkownik ma niezbędne uprawnienia. Zwykła ścieżka tworzenia prywatnego repozytorium odrzuca ten sam token, ale ścieżka migracji pomija to ograniczenie.

API tworzenia repozytoriów organizacji w Gitea wymaga zakresu write:organization, ale pomija zakres tokenu write:repository wymuszany przez inne trasy tworzenia repozytoriów. Token osobistego dostępu lub token aplikacji OAuth bez zakresu zapisu do repozytoriów może zatem tworzyć repozytoria należące do organizacji, jeśli autoryzujący użytkownik ma do tego uprawnienia. Omija to granicę delegowanego zakresu tokenu, pozostając jednocześnie ograniczonym uprawnieniami organizacyjnymi użytkownika.

Endpointy API Gitea do listy kluczy SSH i GPG użytkownika pomijają sprawdzenie widoczności profilu stosowane przez ich odpowiedniki webowe. Konto o ograniczonym dostępie może pobrać klucze publiczne, tytuły kluczy, odciski palców oraz adresy e-mail osadzone w GPG należące do użytkowników o widoczności Limited. Ujawnienie dotyczy materiału kluczy publicznych i powiązanych metadanych, a nie prywatnych kluczy kryptograficznych.

Ścieżki wyszukiwania zgłoszeń w API i interfejsie webowym Gitea nie traktują kont o ograniczonym dostępie jako anonimowych przeglądających przy ocenie właścicieli repozytoriów o widoczności Limited. Użytkownik o ograniczonym dostępie może wyszukiwać i pobierać tytuły oraz treści zgłoszeń, które powinny być ukryte przez politykę widoczności właściciela. Dopasowanie słów kluczowych może również ujawnić, że ukryta treść zgłoszenia lub komentarze zawierają podany termin.

Handlery API Gitea do kanału aktywności i mapy cieplnej wkładu nie stosują sprawdzenia widoczności profilu dla kont o ograniczonym dostępie przeglądających użytkowników o widoczności Limited. Użytkownik o ograniczonym dostępie może pobrać zapisy aktywności i znaczniki czasu wkładu, których odmawiają odpowiadające ścieżki profilu. Ujawniona aktywność może obejmować nazwy repozytoriów, wiadomości commitów oraz zdarzenia zgłoszeń lub pull requestów powiązane z kwalifikującą się aktywnością w publicznych repozytoriach.

W Gitea, wymóg zatwierdzenia dla pierwszego kontrybutora z forka jest egzekwowany przez blokowanie zadań, ale niektóre ścieżki przejść i wysyłek nie sprawdzają ponownie wymogu zatwierdzenia. Osobne uruchomienie współdzielące grupę concurrency na poziomie zadania może anulować oczekujące zadanie i spowodować ponowne wyemitowanie i wysłanie zablokowanych zadań bez zatwierdzenia.

W Gitea przy zdarzeniach pull request workflow jest odczytywany z gałęzi źródłowej PR, a gdy filtry gałęzi lub ścieżek wykluczają wykonanie, publikowany jest syntetyczny status "skipped". Autor forka może dostarczyć workflow pasujący do wymaganego kontekstu statusu, ale celowo uniemożliwić jego uruchomienie, a status "skipped" jest liczony jako sukces.

API listy organizacji użytkownika w Gitea zwraca organizacje o ograniczonej widoczności dla uwierzytelnionych kont ograniczonych, nie stosując restrykcji widoczności wymuszanej przez endpoint pojedynczej organizacji. Ograniczony użytkownik może wylistować publiczne członkostwa w organizacjach znanego użytkownika oraz pobrać nazwy, opisy i awatary organizacji o ograniczonej widoczności.

Rejestr pakietów Gitea przyznaje uwierzytelnionym użytkownikom dostęp do odczytu pakietów należących do użytkowników o ograniczonej widoczności, nie wykluczając kont ograniczonych. Ograniczony użytkownik może wyliczyć i pobrać takie pakiety mimo polityki widoczności, która powinna to uniemożliwiać.

Ścieżka autoryzacji współwłaściciela w Gitea przy odczycie międzyrepozytoryjnych workflow wielokrotnego użytku nie wyklucza uruchomień z forków pull requestów. Zatwierdzony workflow z forka wskazujący na prywatne repozytorium może odczytać pliki workflow z innego prywatnego repozytorium, które ufa właścicielowi repozytorium bazowego.

Parser pakietów Swift w Gitea ogranicza każdy manifest do 128 KiB, ale nie ogranicza liczby manifestów ani ich łącznego rozmiaru przed wczytaniem do pamięci. Uwierzytelniony użytkownik z uprawnieniem publikowania pakietów może przesłać silnie skompresowane archiwum z wieloma manifestami, powodując alokacje znacznie większe niż przesłane archiwum.

Gitea parsuje przesłane pakiety Alpine przed egzekwowaniem kwot rozmiaru pakietów i nie ogranicza zdekompresowanych danych .PKGINFO ani liczby wpisów zależności i provides. Uwierzytelniony użytkownik z uprawnieniem publikowania pakietów może przesłać małe, silnie skompresowane archiwum powodujące nieproporcjonalnie duże alokacje pamięci podczas parsowania i generowania metadanych.

Wstępne sprawdzanie wersji podczas migracji z GitLab w Gitea używa klienta HTTP bez limitu czasu i nie dołącza kontekstu anulowania zadania migracji. Uwierzytelniony użytkownik mogący rozpoczynać migracje może wskazać kontrolowany przez atakującego serwer, który utrzymuje odpowiedź otwartą w nieskończoność. Żądanie trwa po anulowaniu zadania i może wyczerpać pulę procesów roboczych migracji, uniemożliwiając postęp innym migracjom.

Downloader migracji OneDev w Gitea wczytuje całą odpowiedź zdalnej wersji do pamięci bez limitu rozmiaru i używa klienta bez limitu czasu. Uwierzytelniony użytkownik mogący rozpocząć migrację repozytorium może skierować ją do kontrolowanego przez atakującego serwera zgodnego z OneDev, który zwraca odpowiedź o nadmiernym rozmiarze lub nigdy się nie kończącą.