Eine erfolgreiche Ausnutzung ermöglicht einem authentifizierten Angreifer mit Schreibberechtigung für das Repository, beliebige Befehle auf dem Gitea-Server mit den Rechten des Gitea-Dienstes auszuführen.

🔥 Schweregrad

🎯 Betroffene Produkte

• Gitea 1.17
• Gitea 1.18
• Gitea 1.19
• Gitea 1.20
• Gitea 1.21
• Gitea 1.22
• Gitea 1.23
• Gitea 1.24
• Gitea 1.25
• Gitea 1.26
• Gitea 1.27.0

✅ Behobene Version

⚡ Zusammenfassung der Schwachstelle

Die Schwachstelle hat ihren Ursprung im POST /api/v1/repos/{owner}/{repo}/diffpatch-Endpunkt.

Ein bösartiger Patch kann einen Git-Hook in ein temporäres Repository einschleusen, das während der Patch-Verarbeitung erstellt wird. Wenn Git anschließend Repository-Operationen ausführt, wird der injizierte Hook automatisch ausgeführt, was zur Ausführung beliebiger Befehle auf dem Server führt.

🛠 Angriffsvoraussetzungen

Ein Angreifer benötigt in der Regel:

• Authentifiziertes Konto
• Fähigkeit, ein Repository zu erstellen oder zu ändern
• Schreibberechtigung für das Repository

⚠️ Instanzen mit aktivierter öffentlicher Benutzerregistrierung sind einem deutlich höheren Risiko ausgesetzt.

💥 Mögliche Auswirkungen

Eine erfolgreiche Ausnutzung kann Angreifern Folgendes ermöglichen:

• Beliebige Betriebssystembefehle ausführen
• Den Gitea-Server vollständig kompromittieren
• Auf private Repositorys zugreifen
• SSH-Schlüssel stehlen
• CI/CD-Geheimnisse erlangen
• API-Token extrahieren
• Auf Bereitstellungs-Anmeldeinformationen zugreifen
• Sich lateral innerhalb der internen Infrastruktur bewegen

🔍 Ablauf der Ausnutzung

📌 Angriffsfläche

🛡 Gegenmaßnahmen

Sofort:

• Aktualisieren Sie auf Gitea 1.27.1 oder neuer.
• Deaktivieren Sie die öffentliche Registrierung, falls nicht erforderlich.
• Beschränken Sie die Erstellung von Repositorys.
• Begrenzen Sie die Schreibberechtigungen für Repositorys.
• Überwachen Sie ungewöhnliche diffpatch-Anfragen.
• Prüfen Sie Git-Repositorys auf nicht autorisierte Hooks.
• Rotieren Sie offengelegte Anmeldeinformationen, wenn eine Kompromittierung vermutet wird.

🔎 Indikatoren für eine Kompromittierung

Ermittler sollten nach Folgendem suchen:

• Unerwartete Git-Hook-Dateien
• Verdächtige, von Gitea erzeugte Kindprozesse
• Unbekannte Shell-Ausführungen
• Ungewöhnliche API-Aufrufe an /diffpatch
• Nicht autorisierte Repository-Änderungen
• Unerwartete ausgehende Netzwerkverbindungen

📊 Risikobewertung

📚 Technische Details

🚨 Sicherheitsempfehlungen

✔ Aktualisieren Sie sofort.

✔ Überwachen Sie API-Protokolle.

✔ Beschränken Sie Repository-Berechtigungen.

✔ Deaktivieren Sie ungenutzte Registrierungsfunktionen.

✔ Rotieren Sie Geheimnisse, wenn eine Kompromittierung vermutet wird.

✔ Überwachen Sie kontinuierlich die Integrität der Git-Hooks.

📜 Haftungsausschluss

Dieses Repository dient ausschließlich Bildungs-, Verteidigungs- und Forschungszwecken.

Die hier bereitgestellten Informationen sollen Sicherheitsexperten dabei helfen, die Schwachstelle zu verstehen, zu erkennen und zu entschärfen. Verwenden Sie diese Informationen nicht gegen Systeme ohne ausdrückliche Genehmigung.