🧠 Riepilogo della vulnerabilità

CVE-2026-60004 interessa il flusso di lavoro diffpatch dei repository di Gitea. Un attaccante con accesso in scrittura al repository può inviare contenuti di patch controllati che installano e attivano un Git hook, determinando l'esecuzione di comandi come account di servizio di Gitea.

Forgejo e altri fork richiedono una revisione manuale dell'implementazione e non sono automaticamente considerati interessati.

✨ Cosa fa lo script

Ogni esecuzione svolge un flusso di lavoro fisso:

1. Normalizza un bersaglio HTTP o HTTPS esatto.
2. Verifica la versione di Gitea riportata e blocca le release note come non interessate.
3. Richiede un numero di contratto, un nome utente e una password forniti dall'operatore.
4. Rifiuta di riutilizzare un account che autentica già.
5. Tenta di registrare esattamente l'account di test fornito.
6. Crea un repository privato con nome univoco.
7. Installa e attiva l'hook post-index-change predisposto tramite diffpatch.
8. Scrive il marcatore contrattuale ed esegue id per impostazione predefinita.
9. Recupera l'output del comando tramite un riferimento Git temporaneo.
10. Salva prove JSON locali e l'output completo del comando.

Lo strumento accetta solo un singolo bersaglio. Non dispone di modalità di elenco bersagli, wildcard, scansione di massa o discovery passiva.

📦 Requisiti

• Python 3.10 o successivo
• Git disponibile in PATH
• Autorizzazione scritta esplicita per il bersaglio selezionato
• Auto-registrazione Gitea abilitata
• Un nome utente e una password nuovi e usa-e-getta per l'esecuzione

Lo script utilizza solo la libreria standard di Python. Non è richiesto alcun pip install.

🚀 Installazione

🧪 Utilizzo

Sono disponibili anche le opzioni brevi:

🚨 La password viene fornita tramite riga di comando e visualizzata nel pannello dei risultati finali. Utilizza solo una credenziale di test unica e usa-e-getta. Tieni presente che gli argomenti della riga di comando possono essere conservati nella cronologia della shell o temporaneamente visibili agli strumenti locali di ispezione dei processi.

Comando autorizzato personalizzato

Il comando predefinito è id. È possibile fornire un comando personalizzato con ambito ristretto tramite --cmd:

I comandi personalizzati non hanno intenzionalmente alcun timeout. Il validatore attende che il comando remoto termini, quindi evita comandi interattivi o di lunga durata a meno che l'engagement non lo richieda specificamente.

Posizione dell'output

Per impostazione predefinita, ogni esecuzione scrive in:

Puoi selezionare una directory root diversa o una directory di esecuzione esatta:

🧾 Prove

Ogni esecuzione crea file privati 0600 e rifiuta di sovrascrivere risultati esistenti:

• confirmation.json — bersaglio, risultato della versione, nome account, timestamp, comando, codice di ritorno e artefatti acquisiti
• confirmation.command-output.txt — output completo del comando remoto

Le prove possono contenere informazioni sensibili dell'engagement. Non committarle in Git. Il .gitignore incluso esclude i percorsi dei risultati predefiniti e i nomi di file di prova comuni.

🧹 Pulizia

Il validatore non elimina automaticamente gli artefatti lato server. Dopo la valutazione, un amministratore autorizzato dovrebbe:

• Eliminare l'account di test usa-e-getta fornito
• Eliminare il repository privato afterdark-* generato
• Rimuovere /tmp/gitea-validation-<contract>/client.txt
• Archiviare o eliminare in modo sicuro le prove locali
• Aggiornare Gitea alla versione 1.27.1 o successiva
• Eseguire un retest di remediation minimo, se consentito

Un risultato positivo dimostra l'esecuzione di comandi come account di servizio di Gitea. Di per sé non dimostra accesso root, persistenza, movimento laterale o compromissione completa dell'host.

🛡️ Limiti integrati

• Esecuzione diretta senza sottocomandi operativi
• Un bersaglio esatto per esecuzione
• Nessun supporto wildcard o file di bersagli
• User-Agent HTTP correlato al contratto e marcatore del filesystem
• Gate della versione prima della validazione attiva
• Credenziali di nuovo account obbligatorie selezionate dall'operatore
• Rifiuto di account duplicati
• Creazione di repository privati
• Comando predefinito limitato a id
• File di prova privati con creazione esclusiva
• Redazione della password dall'output figlio acquisito
• Timeout di 180 secondi per il percorso di validazione predefinito

✅ Test locali

I test esercitano il parsing e la costruzione del PoC senza effettuare richieste di rete:

🤝 Contributi responsabili

Sono benvenuti miglioramenti che rendano il validatore più sicuro, più affidabile o più facile da pulire. Non inviare dettagli di bersagli reali, credenziali, prove private o payload distruttivi.

Per vulnerabilità in questo strumento, segui SECURITY.md.

📚 Riferimenti e crediti

• Advisory ufficiale Gitea: GHSA-rcr6-4jqh-j84m
• Release di Gitea
• Reporter CVE accreditato dall'advisory upstream: NightRang3r
• Validatore mantenuto dal AfterDark Security Research Group

Costruito per una validazione di sicurezza attenta e vincolata al contratto. 🫖🛡️