기티 보안 결함, 비공개 컨테이너 이미지가 인증 없이 털릴 수 있었다

• 오픈소스 소스코드 관리 플랫폼 기티(Gitea)에서 꽤 아픈 보안 결함이 나옴

  • 취약점 번호는 CVE-2026-27771
  • 인증되지 않은 공격자가 사설 컨테이너 이미지를 무단으로 내려받을 수 있는 문제임
  • 쉽게 말하면 “비공개로 잠가둔 컨테이너 레지스트리인데, 로그인 없이 이미지가 빠져나갈 수 있었다”는 얘기임

• 영향 범위가 작지 않음

  • 기티 1.26.2 미만 모든 버전이 영향 대상임
  • 보안 기업 노스코프는 이 결함이 약 4년 동안 발견되지 않은 채 남아 있었다고 분석함
  • 전 세계 30개국, 3만 개 이상의 배포 환경이 위험에 노출된 것으로 추정됨

• 특히 제조·의료·항공우주·유통 같은 인프라성 업종이 언급됨

  • 주요 위험 국가로는 중국, 미국, 독일, 프랑스, 영국 등이 꼽힘
  • 기사에서는 국가 핵심 인프라 분야까지 파장이 갈 수 있다고 봄
  • 컨테이너 이미지는 운영 환경과 가까운 산출물이라, 유출되면 단순 코드 노출보다 공격자가 얻는 힌트가 많을 수 있음

• 문제의 핵심은 기티 컨테이너 레지스트리의 비공개 설정이 제대로 작동하지 않았다는 점임

  • 사설로 설정된 컨테이너 이미지가 인증 없이 다운로드될 수 있었음
  • 별도 자격 증명이 없어도 외부 침입자가 비공개 저장소에 접근할 수 있는 형태로 설명됨
  • 접근 제어가 깨진 취약점이라, “설정 실수”가 아니라 제품 버전 자체의 위험으로 봐야 함

• 기티 기반 파생 플랫폼 포지조(Forgejo)도 안전지대가 아님

  • 같은 취약점이 포지조에서도 확인됐다고 나옴
  • Gitea만 검색해서 끝내면 안 되고, 내부에서 Forgejo를 쓰는 팀도 같이 점검해야 함
  • 셀프호스팅 Git 플랫폼은 조직마다 이름을 바꿔 운영하는 경우도 많아서 자산 목록 확인이 중요함

• 권장 조치는 단순함 — 최신 1.26.2 버전으로 즉시 업데이트

  • 업데이트가 어렵다면 설정 파일에서 “로그인 필수 보기” 기능을 활성화하는 우회책이 제시됨
  • 다만 이 조치는 공개 컨테이너 서비스까지 모두 차단될 수 있음
  • 공개 이미지 배포를 같이 운영하는 팀이면 패치와 우회 설정의 영향 범위를 먼저 확인해야 함

---

기술 맥락

• 이번 이슈가 민감한 이유는 컨테이너 레지스트리가 배포 파이프라인 한가운데 있기 때문이에요. 소스코드 저장소보다 더 운영 환경에 가까운 산출물이 쌓이고, 이미지 안에는 앱 구성과 내부 의존성 단서가 들어갈 수 있거든요.

• 기티의 비공개 설정이 깨졌다는 건 인증 흐름이나 권한 체크가 레지스트리 다운로드 경로에서 제대로 적용되지 않았다는 뜻으로 볼 수 있어요. 그래서 사용자 계정이 털린 사건이 아니라, 제품 버전 자체를 패치해야 하는 취약점으로 다뤄야 해요.

• 1.26.2 업데이트가 최우선인 이유는 우회 설정이 기능 영향을 만들 수 있기 때문이에요. “로그인 필수 보기”를 켜면 공개 컨테이너 서비스까지 막힐 수 있어서, 외부 배포용 공개 이미지가 있는 조직은 장애로 이어질 수 있어요.

• Forgejo까지 같이 확인해야 하는 것도 이 계열 플랫폼의 특징 때문이에요. 같은 코드 기반에서 갈라진 프로젝트는 취약한 로직을 공유할 수 있어서, 이름이 다르다고 별개 제품처럼 취급하면 패치 누락이 생겨요.