Preuve de concept (PoC) pour CVE-2026-60004

Aperçu

Ce dépôt contient un outil de preuve de concept pour CVE-2026-60004, un vecteur d'exécution de code à distance (RCE) authentifiée ou non authentifiée affectant certaines versions de Gitea via la technique d'injection de hook diffpatch. L'implémentation principale est un programme Go unique qui réalise les flux de détection et d'exploitation.

Contenu du dépôt

• https://github.com/gagaltotal/CVE-2026-60004-poc-gitea — Fichier source Go principal implémentant la détection, la livraison de l'exploit et la récupération optionnelle de la sortie.
• backup.txt — notes/sauvegardes divers.
• images/ — images de support utilisées pour la documentation.

Avis important et utilisation légale / éthique

Ce PoC démontre des techniques d'exploitation qui peuvent compromettre des systèmes distants. Il est fourni uniquement à des fins de recherche, de test et de défense. N'exécutez pas cet outil contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas l'autorisation explicite de tester. L'auteur et les contributeurs ne sont pas responsables d'une mauvaise utilisation.

Prérequis

• Chaîne d'outils Go (Go 1.18+ recommandé)
• Accès réseau à l'instance Gitea cible
• Facultatif : un proxy HTTP pour le débogage (ex. Burp)

Compilation

Depuis la racine du dépôt, exécutez :

go build -o cve-2026-60004-poc cve-2026-60004-poc.go

Utilisation

Le binaire compilé prend en charge plusieurs modes : full-auto, semi-auto, manual et check.

Exemples

Détection non intrusive

./cve-2026-60004-poc --url http://target:3000 --mode check

Full-auto (enregistre un utilisateur, crée un dépôt, tente l'exploitation)

./cve-2026-60004-poc --url http://target:3000 --mode full-auto

Semi-auto (utilise des identifiants existants)

./cve-2026-60004-poc --url http://target:3000 --mode semi-auto --user attacker --pw 'P@ssw0rd'

Manual (utilisateur et dépôt existants, exploitation uniquement)

./cve-2026-60004-poc --url http://target:3000 --mode manual --user attacker --pw 'P@ssw0rd' --repo myrepo

Utiliser une commande personnalisée et récupérer la sortie

./cve-2026-60004-poc --url http://target:3000 --mode manual --user attacker --pw 'P@ssw0rd' --repo myrepo --cmd "whoami; id"

Options (niveau général)

• --url (obligatoire) : URL de base Gitea cible (ex. http://10.0.0.1:3000)
• --mode : full-auto | semi-auto | manual | check (défaut : full-auto)
• --user, --pw : Identifiants pour les modes semi-auto/manual
• --repo : Nom du dépôt (pour le mode manual)
• --branch : Nom de la branche (défaut : main)
• --cmd : Commande à exécuter sur la cible (défaut : cat /etc/passwd)

Détection vs Exploitation

• Le mode check exécute des vérifications non intrusives pour détecter Gitea et sonder la présence du point de terminaison diffpatch.
• Le mode full-auto tente d'enregistrer un nouvel utilisateur (nécessite une inscription ouverte), de créer un dépôt, de délivrer la charge utile diffpatch malveillante et de récupérer la sortie du hook injecté.
• Le mode semi-auto utilise les identifiants fournis pour créer un dépôt et poursuivre les étapes d'exploitation.
• Le mode manual nécessite un utilisateur et un dépôt existants ; il tente uniquement la livraison de l'exploit et, éventuellement, la récupération de la sortie.

Recommandations de sécurité

• N'exposez pas les points de terminaison de l'API Gitea inutilement. Limitez l'accès public.
• Maintenez Gitea à jour ; les versions >= 1.28.0 corrigent cette vulnérabilité spécifique.
• Surveillez la création de dépôts, les appels API et les commits ou références inhabituels.

Notes de développement

• Le PoC est implémenté sous forme de programme Go mono-fichier. Il définit intentionnellement InsecureSkipVerify sur true pour les connexions TLS afin de maximiser la compatibilité lors des tests ; n'utilisez pas ce comportement en production.
• Les principaux points de terminaison utilisés sont /api/v1/version, /user/sign_up, /api/v1/user, /api/v1/user/repos et /api/v1/repos/:owner/:repo/diffpatch.

Contribution

Les contributions doivent se limiter aux améliorations défensives, à la documentation et aux correctifs non liés à l'exploitation. Ne soumettez pas de modifications qui rendent l'outil plus destructif.

Licence

Ce dépôt est fourni à des fins de recherche et de défense. Aucune licence n'est explicitement incluse ; si vous avez besoin d'une licence, ajoutez-en une et assurez-vous qu'elle est compatible avec l'utilisation prévue.

Auteur / Contact

Auteur : Gagaltotal666 - GhostGTR666

Remerciements

Ce PoC a été préparé pour démontrer la vulnérabilité et aider les défenseurs à la détecter et à l'atténuer.

Références

• Voir l'implémentation source dans https://github.com/gagaltotal/CVE-2026-60004-poc-gitea