Prakhar0X01

توجد مشكلة حيث يسمح حقل تكوين، متاح للأدوار التشغيلية الشائعة، بإدخال وجهات طلبات خارجية عشوائية دون التحقق المناسب. يتيح ذلك للمهاجمين المصرح لهم إجبار الخادم على إرسال طلبات إلى عناوين شبكة داخلية لا يمكن الوصول إليها من الخارج. يُعرف هذا باسم server-side request forgery (SSRF)، وهو ما يحدث عندما يتم خداع الخادم لإرسال طلبات إلى موقع غير مقصود.

توجد مشكلة في نقطة نهاية إنشاء السجلات التي تأخذ نوع السجل من الطلب وتدرج السجل مع تعطيل فحوصات الأذونات. يتيح ذلك لأي مستخدم مصادق عليه، بغض النظر عن دوره التشغيلي، تحديد نوع سجل مميز لإنشاء حسابات مميزة والسيطرة الكاملة على الموقع.

يوجد تجاوز للصلاحيات في نقطة نهاية (endpoint) تقبل علامة (flag) يرسلها المستخدم لتعطيل فرض الأذونات. يمكن للمهاجمين المصرح لهم تعيين هذه العلامة عند استدعاء نقطة النهاية لتخطي فحوصات الأذونات وقراءة سجلات الأطراف التي تتجاوز صلاحيات دورهم المسموح به.

يحتوي Gitea على مشكلة تتمثل في أن معالج خطاف git post-receive يعالج خيارات git push بشكل غير صحيح في المستودعات الموجودة. يمكن للمستخدمين الذين يتمتعون بحقوق الوصول كمالك أو مسؤول متعاون استخدام خيارات الدفع غير الموثقة `repo.private` و`repo.template` أثناء تنفيذ `git push` لتبديل حالة رؤية المستودع بين خاص وعام أو تغيير حالة القالب الخاص به. تحدث هذه العملية داخل الدالة `HookPostReceive()` في الملف `routers/private/hook post receive.go`. يتجاوز هذا الإجراء الضوابط الأمنية القياسية والتتبع الإداري، مما يؤدي إلى عدم وجود إدخالات في سجلات تدقيق المستودع أو سجلات الأنشطة، وعدم وجود أحداث webhook، وعدم وجود إخطارات على مستوى المؤسسة، وعدم وجود تنبيهات عبر البريد الإلكتروني للمتابعين. بالإضافة إلى ذلك، يؤدي استخدام الدالة `UpdateRepositoryColsNoAutoTime` إلى إخفاء الطابع الزمني `updated at`، مما يجعل من الصعب اكتشاف التغيير. وقد يسمح ذلك لتهديد داخلي بجعل مستودع خاص عامًا مؤقتًا من أجل تسريب البيانات أو التلاعب بصمت بقوالب المستودع للتأثير على مسارات CI/CD اللاحقة.

يحتوي Gitea على مشكلة تتعلق بالكشف عن المعلومات، حيث تتجاوز الطلبات التي تحتوي على معلمة الاستعلام `go-get` بقيمة `1` عمليات التحقق من المصادقة والتفويض. يتم تشغيل هذا السلوك في الدالتين `httpBase()` و`EarlyResponseForGoGetMeta()`. عند اكتشاف هذه المعلمة في مسار مستودع، يقوم النظام بإرجاع استجابة HTTP 200 تحتوي على علامات البيانات الوصفية، بغض النظر عما إذا كان المستودع خاصًا أو تم مصادقة المستخدم. وهذا يسمح للمهاجمين غير المصادق عليهم بالتأكد من وجود مستودعات خاصة، وتعداد أسماء المستودعات الخاصة عبر الهجوم بالقوة الغاشمة، وجمع معلومات حساسة مثل عناوين URL الكاملة للنسخ المتماثل، وأسماء مستخدمي المالكين، وأسماء الفروع الافتراضية. يحدث هذا لأن النظام صُمم لتوفير حل بديل لمعالجة سلسلة أدوات Go لبيانات الاعتماد، مما أدى إلى وجود نقطة نهاية غير مصادق عليها لكل مستودع.

توجد ثغرة ”تزوير الطلبات من جانب الخادم“ (SSRF) غير المباشرة عند تمكين الإعداد `[oauth2 client] UPDATE AVATAR = true`. تحدث هذه المشكلة لأن الخادم يسترد عنوان URL الخاص بالصورة الرمزية المقدم من مزود OAuth2/OIDC — وعادةً ما يكون المطالبة `picture` — باستخدام عميل Go HTTP الافتراضي دون تطبيق قيود على المضيف الصادر أو عنوان IP. يمكن للمستخدم ذي الامتيازات المنخفضة الذي يمكنه التأثير على مطالبة `picture` الخاصة به أن يجبر خادم Gitea على إرسال طلبات HTTP GET صادرة عشوائية إلى عناوين loopback، وعناوين الشبكات الخاصة وفقًا لمعيار RFC 1918، وعناوين IPv4 المحلية للرابط مثل `169.254.169.254`. تشمل التفاصيل الفنية ما يلي: - **الوظيفة المعرضة للخطر**: `oauth2UpdateAvatarIfNeed()` في `routers/web/auth/oauth.go` و`oauth2SignInSync()` في `routers/web/auth/oauth signin sync.go`. - **المتغير المعرض للخطر**: `gothUser.AvatarURL`. على الرغم من أن هذه المشكلة تُعتبر في الأساس «عمياء» (blind) نظرًا لرفض الاستجابات التي لا تحتوي على صور، إلا أن تأثيرها يزداد إذا تمكن الخادم من الوصول إلى خدمات البيانات الوصفية السحابية أو الخدمات الداخلية التي تُرجع بيانات صور صالحة، والتي يمكن بعد ذلك تخزينها كصورة رمزية للمستخدم.

توجد مشكلة في التفويض في نقاط نهاية REST الخاصة بـ ”الإجراءات“ على مستوى المؤسسة. لا تتحقق نقاط النهاية `/api/v1/orgs/{org}/actions/runs` و`/api/v1/orgs/{org}/actions/jobs` إلا من عضوية المؤسسة وصلاحية الرمز المميز، ولا تقوم بإجراء فحوصات قائمة التحكم في الوصول (ACL) لكل مستودع على حدة. ونتيجة لذلك، يمكن لأي عضو معتمد في المنظمة حصر عمليات تشغيل سير العمل والمهام من كل مستودع داخل تلك المنظمة، بما في ذلك المستودعات الخاصة التي لا يمتلك المستخدم حق الوصول الصريح إليها أو التي رُفضت أذوناته فيها. تسمح هذه الثغرة للمهاجم باستخدام نقاط النهاية كأداة بحث لجمع البيانات الوصفية الحساسة من المستودعات الخاصة، مثل أسماء المستودعات، والأوصاف، وعناوين URL للنسخ، ورموز SHA للالتزامات، وأسماء الفروع، وأسماء ملفات سير العمل، ورسائل الالتزامات، وهويات المساهمين. ويمكن أن يؤدي ذلك إلى استطلاع المعلومات الخاصة بالمؤسسة، وكشف خطط المنتجات، أو فترات إصلاح الثغرات الأمنية، أو هياكل المشاريع الداخلية.

يوجد عيب يتيح تجاوز بوابة الموافقة في سير عمل طلبات السحب (pull request) الخاصة بالفروع بشكل دائم. تتيح هذه المشكلة للمهاجم التحايل على عملية الموافقة المطلوبة عند إرسال التغييرات من مستودع تم إنشاء فرع منه.