Bircni

يوجد خلل حيث يتم مصادقة `GITEA TOKEN` المستخدم في مهام Gitea Actions كمستخدم نظام `gitea-actions`. كانت نقاط نهاية البريد الإلكتروني ومفاتيح GPG في `/api/v1/user` تقبل مستخدم النظام هذا بشكل خاطئ، مما يسمح للمهمة بتسجيل عنوان بريد إلكتروني ومفتاح GPG. وبما أن تأكيد البريد الإلكتروني غير مطلوب افتراضيًا، يتم تخزين العنوان كنشط. تعامل عملية التحقق من الالتزام (commit verification) المفتاح الذي ليس له مالك حقيقي على أنه مفتاح توقيع للمثيل (instance signing key)، مما يمكن أي مستخدم قادر على تشغيل مهمة سير عمل من جعل الالتزامات الموقعة بمفتاحه الخاص تظهر كموثوقة وموقعة من قبل المثيل في جميع المستودعات، بما في ذلك طلبات السحب (pull requests) للمستودعات التي لا يملك المستخدم صلاحية الكتابة فيها. يقتصر التأثير على حالة التوقيع المعروضة؛ حيث أن آليات الإنفاذ، مثل الالتزامات الموقعة المطلوبة، تتحقق فقط من أن التوقيع صالح ولا تتأثر، ولا يتم منح أي وصول غير مصرح به.

كانت سير عمل (Workflows) التي يتم تحفيزها بواسطة مراجعة طلب السحب (pull request) تُقرأ من الالتزام (commit) المحدد في `commit id` الخاص بالمراجعة، ولكن النظام فشل في التحقق مما إذا كان هذا الالتزام ينتمي إلى طلب السحب المراجع. سمح هذا للمستخدم الذي لديه صلاحية القراءة للمستودع بتقديم مراجعة تشير إلى التزام يتحكم فيه. في الحالات التي يوجد بها runner نشط، قد يؤدي ذلك إلى تنفيذ سير عمل غير مصرح به يحصل على أسرار Actions الخاصة بالمستودع والمالك، بالإضافة إلى `GITEA TOKEN` بصلاحيات كتابة على المستودع.

يسمح Gitea لرمز مميز (token) ذي قيود `public-only,write:repository` بتحديث فرع الرأس الخاص لطلب السحب (pull request). يحدث هذا لأن النظام يتحقق من صحة قيد ”للعامة فقط“ للرمز المميز مقابل مسار مستودع القاعدة العام، لكنه يفشل في إعادة تطبيق هذا القيد على مستودع الرأس الخاص أثناء عملية التحديث. ونتيجة لذلك، يمكن للمهاجم الذي يمتلك مثل هذا الرمز المميز أن يجعل Gitea تقوم بدفع الالتزامات من مستودع أساسي عام إلى فرع الرأس الخاص، متجاوزًا بذلك قيود الوصول المقصودة. تشمل التفاصيل الفنية ما يلي: - **نقطة نهاية واجهة برمجة التطبيقات (API):** `POST /api/v1/repos/{public-owner}/{public-repo}/pulls/{index}/update` - **الوظيفة المعرضة للخطر:** `UpdatePullRequest()` إذا تم تمكين Gitea Actions في مستودع الرأس الخاص، فإن هذا الدفع غير المصرح به يمكن أن يؤدي أيضًا إلى تشغيل سير عمل `push` الخاص بالمستودع الخاص.