🚨 CVE-2026-60004 - RCE

Esecuzione Remota di Codice Critica in Gitea tramite Git Hook diffpatch

Una vulnerabilità critica di Esecuzione Remota di Codice (RCE) che consente l'esecuzione arbitraria di comandi tramite l'endpoint API diffpatch abusando dell'esecuzione dei Git hook.

---

📖 Panoramica

CVE-2026-60004 è una vulnerabilità di Esecuzione Remota di Codice (RCE) Critica che colpisce Gitea. Il difetto risiede nell'implementazione dell'endpoint diffpatch, dove patch appositamente create possono abusare del meccanismo degli hook di Git durante l'applicazione della patch.

Uno sfruttamento riuscito consente a un attaccante autenticato con permessi di scrittura sul repository di eseguire comandi arbitrari sul server Gitea con i privilegi del servizio Gitea.

🔥 Gravità

🎯 Prodotti Interessati

• Gitea 1.17
• Gitea 1.18
• Gitea 1.19
• Gitea 1.20
• Gitea 1.21
• Gitea 1.22
• Gitea 1.23
• Gitea 1.24
• Gitea 1.25
• Gitea 1.26
• Gitea 1.27.0

✅ Versione Corretta

Gitea 1.27.1

⚡ Riepilogo della Vulnerabilità

La vulnerabilità ha origine dall'endpoint POST /api/v1/repos/{owner}/{repo}/diffpatch.

Una patch dannosa può introdurre un Git hook in un repository temporaneo creato durante l'elaborazione della patch. Quando Git esegue successivamente operazioni sul repository, l'hook iniettato viene eseguito automaticamente, determinando l'esecuzione arbitraria di comandi sul server.

🛠 Requisiti di Attacco

Un attaccante richiede in genere:

• Account autenticato
• Capacità di creare o modificare un repository
• Permesso di scrittura sul repository

⚠️ Le istanze con registrazione pubblica degli utenti abilitata presentano un rischio significativamente più elevato.

💥 Impatto Potenziale

Uno sfruttamento riuscito può consentire agli attaccanti di:

• Eseguire comandi arbitrari del sistema operativo
• Compromettere completamente il server Gitea
• Accedere a repository privati
• Rubare chiavi SSH
• Ottenere segreti CI/CD
• Estrarre token API
• Accedere alle credenziali di distribuzione
• Spostarsi lateralmente nell'infrastruttura interna

🔍 Flusso di Sfruttamento

Attacker
    │
    ▼
Craft malicious diff patch
    │
    ▼
POST /api/v1/repos/.../diffpatch
    │
    ▼
Git applies patch
    │
    ▼
Malicious Git Hook installed
    │
    ▼
Git executes hook
    │
    ▼
Arbitrary Command Execution

📌 Superficie di Attacco

Internet
      │
      ▼
Authenticated User
      │
      ▼
diffpatch API
      │
      ▼
Temporary Git Repository
      │
      ▼
Git Hook Execution
      │
      ▼
Remote Code Execution

🛡 Mitigazione

Immediatamente:

• Aggiornare a Gitea 1.27.1 o versioni successive.
• Disabilitare la registrazione pubblica se non necessaria.
• Limitare la creazione di repository.
• Limitare i permessi di scrittura sui repository.
• Monitorare richieste diffpatch insolite.
• Controllare i repository Git per hook non autorizzati.
• Ruotare le credenziali esposte se si sospetta una compromissione.

🔎 Indicatori di Compromissione

Gli investigatori dovrebbero cercare:

• File di Git hook inattesi
• Processi figlio sospetti generati da Gitea
• Esecuzioni di shell sconosciute
• Chiamate API insolite a /diffpatch
• Modifiche non autorizzate ai repository
• Connessioni di rete in uscita inattese

📊 Valutazione del Rischio

📚 Dettagli Tecnici

🚨 Raccomandazioni di Sicurezza

✔ Aggiornare immediatamente.

✔ Monitorare i log API.

✔ Limitare i permessi dei repository.

✔ Disabilitare le funzionalità di registrazione non utilizzate.

✔ Ruotare i segreti se si sospetta una compromissione.

✔ Monitorare continuamente l'integrità dei Git hook.

📜 Disclaimer

Questo repository è destinato esclusivamente a scopi educativi, difensivi e di ricerca.

Le informazioni qui fornite mirano ad aiutare i professionisti della sicurezza a comprendere, rilevare e mitigare la vulnerabilità. Non utilizzare queste informazioni contro sistemi senza esplicita autorizzazione.