🚨 CVE-2026-60004 - RCE

Exécution de code à distance critique dans Gitea via le hook Git diffpatch

Une vulnérabilité critique d'exécution de code à distance (RCE) permettant l'exécution arbitraire de commandes via le point de terminaison de l'API diffpatch en abusant de l'exécution des hooks Git.

---

📖 Vue d'ensemble

CVE-2026-60004 est une vulnérabilité critique d'exécution de code à distance (RCE) affectant Gitea. La faille réside dans l'implémentation du point de terminaison diffpatch, où des correctifs spécialement conçus peuvent abuser du mécanisme de hooks de Git lors de l'application du correctif.

Une exploitation réussie permet à un attaquant authentifié disposant des permissions d'écriture sur le dépôt d'exécuter des commandes arbitraires sur le serveur Gitea avec les privilèges du service Gitea.

🔥 Gravité

🎯 Produits concernés

• Gitea 1.17
• Gitea 1.18
• Gitea 1.19
• Gitea 1.20
• Gitea 1.21
• Gitea 1.22
• Gitea 1.23
• Gitea 1.24
• Gitea 1.25
• Gitea 1.26
• Gitea 1.27.0

✅ Version corrigée

Gitea 1.27.1

⚡ Résumé de la vulnérabilité

La vulnérabilité provient du point de terminaison POST /api/v1/repos/{owner}/{repo}/diffpatch.

Un correctif malveillant peut introduire un hook Git dans un dépôt temporaire créé lors du traitement du correctif. Lorsque Git exécute ensuite des opérations sur le dépôt, le hook injecté s'exécute automatiquement, entraînant l'exécution de commandes arbitraires sur le serveur.

🛠 Conditions requises pour l'attaque

Un attaquant a généralement besoin de :

• Compte authentifié
• Capacité à créer ou modifier un dépôt
• Permission d'écriture sur le dépôt

⚠️ Les instances avec inscription publique des utilisateurs activée présentent un risque considérablement plus élevé.

💥 Impact potentiel

Une exploitation réussie peut permettre aux attaquants de :

• Exécuter des commandes arbitraires du système d'exploitation
• Compromettre entièrement le serveur Gitea
• Accéder aux dépôts privés
• Voler les clés SSH
• Obtenir les secrets CI/CD
• Extraire les jetons API
• Accéder aux identifiants de déploiement
• Se déplacer latéralement au sein de l'infrastructure interne

🔍 Déroulement de l'exploitation

Attaquant
    │
    ▼
Créer un correctif diff malveillant
    │
    ▼
POST /api/v1/repos/.../diffpatch
    │
    ▼
Git applique le correctif
    │
    ▼
Hook Git malveillant installé
    │
    ▼
Git exécute le hook
    │
    ▼
Exécution de commandes arbitraires

📌 Surface d'attaque

Internet
      │
      ▼
Utilisateur authentifié
      │
      ▼
API diffpatch
      │
      ▼
Dépôt Git temporaire
      │
      ▼
Exécution du hook Git
      │
      ▼
Exécution de code à distance

🛡 Atténuation

Immédiatement :

• Mettez à niveau vers Gitea 1.27.1 ou une version plus récente.
• Désactivez l'inscription publique si elle n'est pas nécessaire.
• Restreignez la création de dépôts.
• Limitez les permissions d'écriture sur les dépôts.
• Surveillez les requêtes diffpatch inhabituelles.
• Auditez les dépôts Git pour détecter les hooks non autorisés.
• Renouvelez les identifiants exposés si une compromission est suspectée.

🔎 Indicateurs de compromission

Les investigateurs doivent rechercher :

• Fichiers de hooks Git inattendus
• Processus enfants suspects générés par Gitea
• Exécutions de shell inconnues
• Appels d'API inhabituels vers /diffpatch
• Modifications non autorisées de dépôts
• Connexions réseau sortantes inattendues

📊 Évaluation des risques

📚 Détails techniques

🚨 Recommandations de sécurité

✔ Mettez à niveau immédiatement.

✔ Surveillez les journaux API.

✔ Restreignez les permissions des dépôts.

✔ Désactivez les fonctionnalités d'inscription inutilisées.

✔ Renouvelez les secrets si une compromission est suspectée.

✔ Surveillez en continu l'intégrité des hooks Git.

📜 Avertissement

Ce dépôt est destiné uniquement à des fins éducatives, défensives et de recherche.

Les informations fournies ici visent à aider les professionnels de la sécurité à comprendre, détecter et atténuer la vulnérabilité. N'utilisez pas ces informations contre des systèmes sans autorisation explicite.