🫖 CVE-2026-60004 Gitea वैलिडेटर

Gitea diffpatch Git-hook रिमोट कोड एक्ज़ीक्यूशन भेद्यता के लिए एक स्टैंडअलोन डिस्कवरी, मूल्यांकन, और अनुबंध-सहसंबंधित सत्यापन उपकरण।

scanner.py पैठ परीक्षकों, रक्षकों, और सुरक्षा शोधकर्ताओं को एक निर्भरता-मुक्त उपकरण प्रदान करता है:

• 🔎 LeakIX के मौजूदा इंडेक्स के माध्यम से निष्क्रिय Gitea डिस्कवरी
• 🧭 एकल-लक्ष्य सार्वजनिक-रूट और Swagger टोही
• 🩺 गैर-विनाशकारी संस्करण मूल्यांकन
• 🧪 सीमित, प्रमाणित प्रूफ-ऑफ-कॉन्सेप्ट सत्यापन
• 🧾 अनुबंध-सहसंबंधित JSON साक्ष्य और कमांड-आउटपुट कैप्चर
• 🛡️ एकल-लक्ष्य नियंत्रण, संस्करण गेट, निजी आउटपुट फ़ाइलें, और समान-मूल क्रेडेंशियल हैंडलिंग

⚠️ कानूनी और नैतिक अस्वीकरण

यह प्रोजेक्ट केवल अधिकृत सुरक्षा परीक्षण, रक्षात्मक सत्यापन, अनुसंधान, और शिक्षा के लिए प्रदान किया गया है। सक्रिय मोड केवल उन सिस्टमों के विरुद्ध चलाएं जिनके स्वामी आप हैं या जिनके मूल्यांकन के लिए आपके पास स्पष्ट लिखित अनुमति है। सभी लागू कानूनों, अनुबंधों, सगाई के नियमों, और प्रकटीकरण आवश्यकताओं का पालन करना आपकी ज़िम्मेदारी है।

लेखक और योगदानकर्ता दुरुपयोग, क्षति, सेवा व्यवधान, डेटा हानि, या कानूनी परिणामों के लिए ज़िम्मेदार नहीं हैं। सक्रिय PoC Gitea ऑपरेटिंग-सिस्टम उपयोगकर्ता के रूप में एक कमांड निष्पादित करता है और एक निजी रिपॉजिटरी बनाकर सर्वर स्थिति बदलता है। इसे किसी भी अन्य RCE सत्यापन उपकरण की तरह मानें।

🧠 भेद्यता सारांश

CVE-2026-60004 Gitea की रिपॉजिटरी diffpatch वर्कफ़्लो को प्रभावित करता है। एक रिपॉजिटरी लेखक नियंत्रित पैच सामग्री प्रस्तुत कर सकता है जो साझा बेयर अस्थायी क्लोन में एक Git हुक स्थापित करता है। तैयार किए गए पैच को दो बार लागू करने से add/add टकराव उत्पन्न होता है और हुक Gitea सेवा खाते के रूप में निष्पादित होता है।

Forgejo और अन्य फोर्क स्वचालित रूप से भेद्य के रूप में वर्गीकृत नहीं हैं। उनके कार्यान्वयन की स्वतंत्र रूप से समीक्षा की जानी चाहिए।

✨ प्रत्येक मोड क्या करता है

सक्रिय मोड लक्ष्य सूची या वाइल्डकार्ड स्वीकार नहीं करते हैं।

📦 आवश्यकताएँ

• Python 3.10 या नया
• PATH में Git उपलब्ध
• स्पष्ट रूप से चयनित Gitea लक्ष्य तक नेटवर्क पहुंच
• मान्य Gitea क्रेडेंशियल, या स्पष्ट रूप से अनुमोदित स्व-पंजीकरण
• सक्रिय परीक्षण के लिए एक लिखित प्राधिकरण/अनुबंध संदर्भ
• वैकल्पिक: discover के लिए एक LeakIX API कुंजी

स्कैनर केवल Python की मानक लाइब्रेरी का उपयोग करता है। कोई pip install आवश्यक नहीं है।

🚀 इंस्टॉल

git clone https://github.com/InfoSec-DB/CVE-2026-60004-Gitea-Validator.git
cd CVE-2026-60004-Gitea-Validator
python3 scanner.py --help

🩺 गैर-विनाशकारी जांच से शुरू करें

रिपोर्ट किए गए संस्करण की जांच करें

python3 scanner.py verify \
  https://gitea.example \
  --contract-number ENG-2026-001 \
  --output evidence/version.json

सार्वजनिक रूट और Swagger मेटाडेटा की सूची बनाएं

python3 scanner.py recon \
  https://gitea.example \
  --contract-number ENG-2026-001 \
  --output evidence/recon.json

संस्करण पहचान एक मूल्यांकन संकेत है, शोषण क्षमता का प्रमाण नहीं। बैकपोर्टेड पैच, कस्टम बिल्ड, रिवर्स प्रॉक्सी, और फोर्क मैन्युअल समीक्षा की आवश्यकता हो सकती है।

🧪 अधिकृत सक्रिय पुष्टि

मौजूदा अनुमोदित परीक्षण खाता

शेल इतिहास से पासवर्ड बाहर रखने के लिए इसे कमांड के लिए पर्यावरण में रखें:

GITEA_PASSWORD='replace-with-approved-test-password' \
python3 scanner.py confirm \
  https://gitea.example \
  --contract-number ENG-2026-001 \
  --username audit-user \
  --execute-poc \
  --write-client-marker \
  --output evidence/confirmation.json

जब तक स्वचालन के लिए --yes-i-am-authorized प्रदान नहीं किया जाता, confirm आपसे अनुबंध-बद्ध पुष्टि वाक्यांश टाइप करने के लिए कहता है। डिफ़ॉल्ट रिमोट कमांड id है।

डिस्पोज़ेबल स्व-पंजीकरण

इसका उपयोग केवल तभी करें जब सगाई के नियमों द्वारा खाता निर्माण की अनुमति हो:

python3 scanner.py confirm \
  https://gitea.example \
  --contract-number ENG-2026-001 \
  --register-test-account \
  --credential-log evidence/credentials.txt \
  --execute-poc \
  --write-client-marker \
  --output evidence/confirmation.json

पासवर्ड केवल निजी क्रेडेंशियल लॉग में संग्रहीत होता है, JSON साक्ष्य या टर्मिनल परिणाम पैनल में डुप्लिकेट नहीं होता।

एक-कमांड परीक्षण प्रोफ़ाइल

python3 scanner.py test \
  https://gitea.example \
  --contract-number ENG-2026-001

🚨 test एक सक्रिय सुविधा कमांड है। पंजीकरण सक्षम प्रभावित लक्ष्य पर, यह स्वचालित रूप से एक खाता और निजी रिपॉजिटरी बनाता है, अनुबंध मार्कर लिखता है, id चलाता है, और परिणाम afterdark-results/ के अंतर्गत सहेजता है। इसमें जानबूझकर कोई अतिरिक्त इंटरैक्टिव प्रॉम्प्ट नहीं है, इसलिए इसे आमंत्रित करना प्राधिकरण की स्वीकृति है।

कस्टम कमांड

संकीर्ण रूप से दायरे वाले, स्पष्ट रूप से अनुमोदित सत्यापन के लिए, confirm और test --cmd स्वीकार करते हैं। जब भी पर्याप्त हो, डिफ़ॉल्ट id प्रोफ़ाइल को प्राथमिकता दें।

GITEA_PASSWORD='replace-with-approved-test-password' \
python3 scanner.py confirm \
  https://gitea.example \
  --contract-number ENG-2026-001 \
  --username audit-user \
  --execute-poc \
  --cmd 'uname -a' \
  --output evidence/confirmation.json

🌐 निष्क्रिय LeakIX डिस्कवरी

export LEAKIX_API_KEY='replace-with-your-key'
python3 scanner.py discover \
  --method app \
  --pages 3 \
  --output evidence/leakix.json

उस होस्ट से संपर्क किए बिना एक ज्ञात होस्ट के लिए LeakIX रिकॉर्ड का निरीक्षण करने के लिए:

python3 scanner.py discover \
  --method host \
  --target gitea.example \
  --pages 1 \
  --output evidence/leakix-host.json

डिस्कवरी परिणाम लीड हैं, सूचीबद्ध सिस्टम को स्कैन करने या शोषण करने का प्राधिकरण नहीं।

🔬 एम्बेडेड PoC कैसे काम करता है

1. पुष्टि करता है कि रिपोर्ट किया गया उत्पाद/संस्करण सक्रिय-परीक्षण गेट पास करता है।
2. अनुमोदित खाते के साथ प्रमाणित करता है या स्पष्ट रूप से अनुरोध किए जाने पर एक डिस्पोज़ेबल खाता बनाता है।
3. डिफ़ॉल्ट शाखा के साथ आरंभित एक विशिष्ट नाम वाली निजी रिपॉजिटरी बनाता है।
4. एक निष्पादन योग्य hooks/post-index-change फ़ाइल जोड़ने वाला पैच बनाता है।
5. पैच को रिपॉजिटरी diffpatch API एंडपॉइंट पर दो बार प्रस्तुत करता है।
6. हुक चयनित कमांड चलाता है और अपना संयुक्त आउटपुट Git ऑब्जेक्ट्स में लिखता है।
7. एक अस्थायी Git क्लाइंट विशिष्ट आउटपुट संदर्भ प्राप्त करता है।
8. स्कैनर निजी 0600 फ़ाइलों का उपयोग करके अनुबंध-सहसंबंधित साक्ष्य लिखता है और मौजूदा साक्ष्य को अधिलेखित करने से इनकार करता है।

प्रमाणित HTTP रीडायरेक्ट चयनित लक्ष्य मूल तक सीमित हैं। Git आउटपुट पुनर्प्राप्ति भी प्राधिकरण हेडर सक्रिय होने पर रीडायरेक्ट अक्षम करता है।

🧾 साक्ष्य और संवेदनशील-डेटा हैंडलिंग

सक्रिय रन उत्पन्न कर सकते हैं:

• confirmation.json — टाइमस्टैम्प, लक्ष्य, खाता नाम, संस्करण मूल्यांकन, रिटर्न कोड, और कैप्चर किया गया आउटपुट
• confirmation.command-output.txt — पूर्ण रिमोट कमांड आउटपुट
• credentials.txt — उत्पन्न डिस्पोज़ेबल-खाता पासवर्ड, जब अनुरोध किया जाए
• JSON साक्ष्य के अंदर संरक्षित embedded-result.txt सामग्री

इन फ़ाइलों में संवेदनशील सगाई डेटा हो सकता है। इन्हें शामिल .gitignore द्वारा अनदेखा किया जाता है, मोड 0600 के साथ बनाया जाता है, और आपकी साक्ष्य-हैंडलिंग नीति के अनुसार आराम पर एन्क्रिप्ट किया जाना चाहिए।

🧹 सफाई चेकलिस्ट

उपकरण जानबूझकर स्वचालित विलोपन से बचता है ताकि साक्ष्य समीक्षा के लिए उपलब्ध रहे। परीक्षण के बाद, एक लक्ष्य प्रशासक को चाहिए:

• उत्पन्न audit-* खाता हटाएं, यदि एक बनाया गया था
• उत्पन्न निजी afterdark-* रिपॉजिटरी हटाएं
• वैकल्पिक /tmp/gitea-validation-*/client.txt मार्कर हटाएं
• स्थानीय क्रेडेंशियल और साक्ष्य सुरक्षित रूप से संग्रहीत या हटाएं
• Gitea को 1.27.1 या बाद में अपग्रेड करें
• उपचार की पुष्टि के लिए केवल न्यूनतम सुरक्षित सत्यापन दोबारा चलाएं

सफल PoC निष्पादन Gitea सेवा खाते के रूप में कमांड निष्पादन प्रदर्शित करता है। यह अकेले रूट पहुंच, दृढ़ता, पार्श्व गति, या अंतर्निहित होस्ट के समझौते को साबित नहीं करता।

🛡️ सुरक्षा नियंत्रण

• केवल सटीक एकल-लक्ष्य URL; कोई वाइल्डकार्ड या लक्ष्य-फ़ाइल समर्थन नहीं
• User-Agent और वैकल्पिक मार्कर में अनुबंध संख्या शामिल
• सक्रिय संस्करण गेट ज्ञात पैच की गई रिलीज़ को ब्लॉक करता है
• डिफ़ॉल्ट कमांड id या whoami तक सीमित
• confirm के लिए स्पष्ट --execute-poc स्विच
• स्व-पंजीकरण ऑप्ट-इन है और अक्षम होने पर छोड़ दिया जाता है
• प्रमाणित HTTP अनुरोधों के लिए समान-मूल रीडायरेक्ट प्रवर्तन
• क्रेडेंशियल्ड आउटपुट पुनर्प्राप्ति के दौरान Git रीडायरेक्ट अक्षम
• क्रेडेंशियल चाइल्ड प्रक्रिया को मेमोरी/पर्यावरण में पारित, फिर कैप्चर किए गए आउटपुट से संपादित
• निजी, अनन्य-निर्माण साक्ष्य फ़ाइलें; मौजूदा फ़ाइलें कभी अधिलेखित नहीं होतीं
• 180-सेकंड चाइल्ड-प्रक्रिया टाइमआउट और सीमित आउटपुट कैप्चर

✅ परीक्षण चलाएं

शामिल परीक्षण स्थानीय हैं और कोई नेटवर्क अनुरोध नहीं करते:

python3 -m unittest discover -s tests -v

🤝 योगदान

जिम्मेदार सुधारों का स्वागत है—विशेष रूप से संगतता सुधार, झूठी-सकारात्मक कमी, साक्ष्य-गुणवत्ता सुधार, और सुरक्षित सफाई वर्कफ़्लो। कृपया वास्तविक लक्ष्य विवरण, क्रेडेंशियल, निजी साक्ष्य, या हथियारबद्ध पेलोड जमा न करें।

इस उपकरण में ही सुरक्षा मुद्दे के लिए, SECURITY.md का पालन करें।

📚 संदर्भ और श्रेय

• आधिकारिक Gitea सलाह: GHSA-rcr6-4jqh-j84m
• Gitea रिलीज़
• अपस्ट्रीम सलाह द्वारा श्रेयित CVE रिपोर्टर: NightRang3r
• AfterDark Security Research Group द्वारा अनुरक्षित वैलिडेटर

सावधान शोधकर्ताओं के लिए बनाया गया जो मानते हैं कि एक अच्छा PoC प्रतिलिपि योग्य, जिम्मेदार, और सफाई में उबाऊ होना चाहिए। 🛡️