Gitea 원격 코드 실행 취약점(CVE-2026-60004)｜영향 범위와 대응

국내 권고가 의미하는 범위

한국인터넷진흥원은 2026년 8월 27일 Gitea 코드 삽입 취약점 CVE-2026-60004에 대한 보안 업데이트 권고를 공개했습니다. 권고에서 제시한 영향 범위는 Gitea 1.17 이상 1.27.1 미만이며, 해결 기준은 1.27.1 이상입니다. 자체 구축한 Git 서비스가 이 구간에 포함된다면 외부 공개 여부만 볼 것이 아니라 계정 생성 정책, 저장소 쓰기 권한, 서비스 계정의 시스템 권한까지 함께 확인해야 합니다.

Gitea 공식 1.27.1 릴리스는 이 문제를 `diffpatch` API를 거쳐 Git hook을 설치할 수 있은 원격 코드 실행 취약점으로 설명합니다. 일반적인 저장소 쓰기 권한을 가진 계정이 공격 조건을 갖출 수 있으며, 코드가 실행되는 주체는 Gitea 프로세스를 구동하는 운영체제 서비스 계정입니다. 웹 애플리케이션의 한 기능에서 시작하지만 영향은 해당 서비스 계정이 접근할 수 있은 서버 자원으로 이어질 수 있습니다.

일일 브리핑에서는 제품명, 영향 버전, 수정판을 우선 전달했습니다. 독립 분석에서는 어떤 배포가 먼저 위험한지 판단할 수 있도록 권한 경계와 실행 조건을 구분합니다. 같은 버전이라도 공개 가입을 허용하는 인터넷 서비스와, 제한된 계정만 쓰는 내부 서비스는 노출 수준이 다릅니다. 다만 두 환경 모두 공식 수정판 적용 대상이라는 점은 같습니다.

공격 성립 조건

공식 보안 권고에 적힌 조건을 하나씩 분리하면 점검 범위가 선명해집니다. 영향 버전만 확인하거나 포트가 외부에 열렸는지만 보는 방식으로는 부족합니다. 아래 조건은 공격 경로의 전제이며, 여러 조건이 맞물릴수록 조치 우선순위가 높아집니다.

• Gitea 1.17 이상 1.27.1 미만 버전을 사용 중인 배포
• 공격자가 저장소에 일반 쓰기 작업을 수행할 수 있은 권한
• 서버가 Git 2.32 이상을 사용하며 diffpatch 경로가 활성화된 환경
• Gitea 임시 파일시스템이 쓰기와 실행을 허용하는 구성
• 공개 가입을 통해 새 계정과 저장소를 만들 수 있은 서비스

공개 가입이 허용된 기본형 서비스에서는 사전 계정이 없은 방문자도 일반 계정을 등록하고 저장소를 생성해 필요한 쓰기 권한을 얻을 수 있습니다. 따라서 인터넷에 공개된 인스턴스에서 가입과 저장소 생성이 함께 열려 있다면 단순한 인증 사용자 전용 문제로 낮춰 보기는 어렵습니다. 계정 생성 제한은 공격 준비 단계를 좁히지만 취약한 코드 자체를 제거하지는 않습니다.

가입을 막은 조직형 인스턴스에서도 기존 계정의 저장소 권한을 살펴야 합니다. 외부 협력자, 퇴직자 계정, 장기간 쓰지 않은 자동화 계정, 광범위한 조직 권한이 남아 있으면 쓰기 권한을 가진 공격자가 될 수 있습니다. 내부망에 배치했다는 사실보다 누가 저장소를 만들고 수정할 수 있는지, 계정 탈취 시 어떤 권한이 따라오는지가 더 직접적인 판단 기준입니다.

diffpatch와 Git hook 실행 경로

취약점의 시작점은 저장소가 관리하는 내용을 `diffpatch` 처리 과정에 전달하는 단계입니다. Gitea는 패치를 공유 bare 임시 복제본에 적용합니다. 공식 권고는 특정 충돌 상황에서 Git의 3방향 처리 경로가 인덱스의 경로를 실제로 꺼내 놓은 동작으로 이어질 수 있다고 설명합니다. bare 복제본에서는 저장소 루트가 Git 디렉터리이므로 이 경계가 중요해집니다.

저장소 내용이 hook 경로에 실행 가능한 형태로 놓이면 인덱스를 갱신하는 과정에서 Git hook이 동작합니다. 결과적으로 저장소에 대한 일반 쓰기 권한이 Gitea 운영체제 서비스 계정의 명령 실행으로 바뀝니다. 애플리케이션 권한과 운영체제 권한 사이의 경계가 끊어지는 지점이어서 CVE 분류도 코드 삽입(CWE-94)으로 지정됐습니다.

이 흐름은 사용자가 악성 파일을 직접 열어야 하는 유형과 다릅니다. 요청은 네트워크를 통해 전달되고 별도의 사용자 상호작용 없이 서버 측 처리 과정에서 이어집니다. GitHub 보안 권고의 CVSS 3.1 기본 점수는 9.8이며 네트워크 공격, 낮은 복잡도, 사용자 상호작용 불필요, 기밀성·무결성·가용성의 높은 영향을 반영합니다.

서비스 계정 권한에 따른 영향

실행 권한은 Gitea 서비스 계정에서 시작합니다. 이 계정이 읽을 수 있은 `app.ini`, 프로세스 환경변수, 마운트된 저장소, 데이터베이스 접속정보, OAuth 및 외부 연동 자격증명은 연쇄 영향의 대상이 될 수 있습니다. 데이터베이스 내용과 내부 서비스 접근 범위도 배포 구조와 계정 권한에 따라 달라집니다.

같은 CVE라도 컨테이너 격리, 읽기 전용 마운트, 최소 권한 서비스 계정, 분리된 데이터베이스 권한을 적용한 환경은 후속 영향의 폭을 줄일 수 있습니다. 반대로 서비스 계정이 저장소 외의 운영 파일을 폭넓게 읽거나 다른 내부 서비스에 접근할 수 있다면 웹 애플리케이션 침해가 자격증명 탈취와 추가 시스템 접근으로 번질 여지가 커집니다.

그래서 버전 업데이트와 권한 점검은 따로 떼기 어렵습니다. 패치는 알려진 코드 경로를 막고, 최소 권한과 격리는 유사한 서버 측 취약점이 발생했을 때 피해 반경을 제한합니다. 패치만 적용한 뒤 서비스 계정이 관리자 수준 권한을 계속 갖게 두거나, 반대로 권한만 낮추고 취약 버전을 유지하는 방식은 각각 한쪽 방어만 남깁니다.

조치 우선순위

가장 먼저 처리할 대상은 인터넷에 공개돼 있고, 일반 사용자의 가입과 저장소 생성이 가능하며, 영향 버전을 쓰는 인스턴스입니다. 그다음은 외부 협력자나 다수 개발자에게 저장소 쓰기 권한을 부여한 조직형 서비스입니다. 제한된 내부 서비스도 계정 탈취나 내부자 경로를 고려해 같은 변경 일정 안에서 공식 수정판으로 올리는 편이 안전합니다.

1. 실행 중인 Gitea 버전을 바이너리, 패키지, 컨테이너 이미지 기준으로 확인
2. 설정·데이터베이스·저장소 백업과 변경 창구를 준비
3. Gitea 1.27.1 이상 공식 수정판으로 업데이트
4. 공개 가입, 저장소 생성, 쓰기 권한을 업무 필요 범위로 축소
5. Gitea 서비스 계정과 저장소·데이터베이스·연동 자격증명의 권한 경계 점검
6. 업데이트 뒤 로그인, clone·push, pull request, webhook·Actions 등 실제 사용 기능 검증

화면 하단의 버전 문자열만 확인하기보다 실제 배포 단위를 기준으로 확인하는 편이 정확합니다. 패키지 설치형은 설치된 패키지와 실행 파일을, 컨테이너형은 현재 구동 중인 이미지와 배포 정의를 함께 대조합니다. 여러 노드나 복제본을 운영한다면 한 대만 교체된 상태가 남지 않도록 전체 인스턴스의 버전을 확인해야 합니다.

업데이트 전에는 조직의 기존 백업·복구 절차에 따라 설정, 데이터베이스, 저장소의 복구 지점을 준비합니다. Gitea 1.27.1은 보안 수정과 함께 여러 기능 수정도 포함하므로, 운영 중인 인증 연동, webhook, Actions, 저장소 접근 방식에 맞춘 확인 항목을 변경 계획에 넣은 것이 좋습니다. 공식 설치·업데이트 문서를 기준으로 현재 배포 방식에 맞은 패키지를 선택해야 합니다.

즉시 업데이트가 어려운 짧은 기간에는 공개 가입과 새 저장소 생성을 제한하고, 불필요한 쓰기 권한을 회수해 공격 전제를 줄일 수 있습니다. 임시 파일시스템과 서비스 계정 권한도 최소화합니다. 이러한 노출 축소는 수정판을 대신하는 조치가 아니라 패치까지의 위험을 낮추는 보완책입니다.

업데이트 후 검증

업데이트가 끝나면 모든 노드가 해결 버전 이상으로 올라갔는지 다시 확인합니다. 로그인과 저장소 조회뿐 아니라 clone, push, pull request, diff 표시, webhook, Actions처럼 실제 운영 경로를 표본 점검합니다. 취약 경로를 재현하거나 공격 코드를 실행하는 검증은 필요하지 않습니다. 정상 기능과 버전, 접근 정책이 기대한 상태인지 확인하는 방식으로 마무리합니다.

영향 버전이 외부에 노출됐던 환경은 변경 전후의 계정 생성, 저장소 생성, 권한 변경, API 접근 기록을 보존해 검토할 가치가 있습니다. 새로 만들어진 계정과 저장소, 평소와 다른 쓰기 작업, 서비스 계정이 접근한 파일과 프로세스 기록을 조직의 침해대응 절차에 따라 대조합니다. 특정 한 문자열만 찾은 방식보다 권한과 행위의 연결을 보는 편이 적합합니다.

검토 과정에서 서비스 계정의 비정상 실행이나 자격증명 접근 정황이 발견되면 Gitea 설정 비밀값, 데이터베이스 계정, OAuth·외부 연동 토큰의 교체 범위를 정합니다. 저장소 내용과 감사 기록의 무결성도 확인합니다. 서비스 계정이 접근할 수 있었던 범위를 기준으로 조치 대상을 정해야 불필요하게 넓거나 반대로 빠진 대응을 줄일 수 있습니다.

CVE-2026-60004의 운영상 교훈은 저장소 쓰기 권한이 코드 보관 기능 안에서만 머물지 않을 수 있다는 점입니다. Gitea는 저장소, Git 실행, 임시 파일시스템, 데이터베이스와 각종 연동 자격증명을 연결하는 서비스입니다. 공식 수정판 적용과 함께 가입 정책, 저장소 권한, 서비스 계정 격리를 한 묶음으로 점검해야 권한 전환 경로와 후속 피해 범위를 함께 줄일 수 있습니다.