🚨 CVE-2026-60004 - RCE

diffpatch Git フックを介した Gitea における重大なリモートコード実行

Git フックの実行を悪用して diffpatch API エンドポイント経由で任意のコマンド実行を可能にする、重大なリモートコード実行 (RCE) 脆弱性。

---

📖 概要

CVE-2026-60004 は、Gitea に影響を及ぼす重大なリモートコード実行 (RCE) 脆弱性です。この欠陥は diffpatch エンドポイントの実装に存在し、特別に細工されたパッチがパッチ適用中に Git のフック機構を悪用できます。

悪用に成功すると、リポジトリへの書き込み権限を持つ認証済み攻撃者が、Gitea サービスの権限で Gitea サーバー上で任意のコマンドを実行できます。

🔥 深刻度

🎯 影響を受ける製品

• Gitea 1.17
• Gitea 1.18
• Gitea 1.19
• Gitea 1.20
• Gitea 1.21
• Gitea 1.22
• Gitea 1.23
• Gitea 1.24
• Gitea 1.25
• Gitea 1.26
• Gitea 1.27.0

✅ 修正済みバージョン

Gitea 1.27.1

⚡ 脆弱性サマリー

この脆弱性は POST /api/v1/repos/{owner}/{repo}/diffpatch エンドポイントに起因します。

悪意のあるパッチは、パッチ処理中に作成される一時リポジトリに Git フック を注入できます。その後、Git がリポジトリ操作を実行すると、注入されたフックが自動的に実行され、サーバー上で任意のコマンド実行が発生します。

🛠 攻撃要件

攻撃者は通常、以下を必要とします:

• 認証済みアカウント
• リポジトリを作成または変更する権限
• リポジトリへの書き込み権限

⚠️ 公開ユーザー登録が有効なインスタンスは、リスクが大幅に高くなります。

💥 潜在的な影響

悪用に成功すると、攻撃者は以下を実行できる可能性があります:

• 任意のオペレーティングシステムコマンドの実行
• Gitea サーバーの完全な侵害
• プライベートリポジトリへのアクセス
• SSH キーの窃取
• CI/CD シークレットの取得
• API トークンの抽出
• デプロイメント認証情報へのアクセス
• 内部インフラストラクチャ全体への横移動

🔍 悪用の流れ

Attacker
    │
    ▼
Craft malicious diff patch
    │
    ▼
POST /api/v1/repos/.../diffpatch
    │
    ▼
Git applies patch
    │
    ▼
Malicious Git Hook installed
    │
    ▼
Git executes hook
    │
    ▼
Arbitrary Command Execution

📌 攻撃面

Internet
      │
      ▼
Authenticated User
      │
      ▼
diffpatch API
      │
      ▼
Temporary Git Repository
      │
      ▼
Git Hook Execution
      │
      ▼
Remote Code Execution

🛡 緩和策

直ちに:

• Gitea 1.27.1 以降にアップグレードする。
• 不要な場合は公開登録を無効化する。
• リポジトリの作成を制限する。
• リポジトリへの書き込み権限を制限する。
• 不審な diffpatch リクエストを監視する。
• Git リポジトリに不正なフックがないか監査する。
• 侵害が疑われる場合は、露出した認証情報をローテーションする。

🔎 侵害の痕跡

調査担当者は以下に注目すべきです:

• 予期しない Git フックファイル
• Gitea によって生成された不審な子プロセス
• 不明なシェルの実行
• /diffpatch への不審な API 呼び出し
• 許可されていないリポジトリの変更
• 予期しない外向きネットワーク接続

📊 リスク評価

📚 技術詳細

🚨 セキュリティ推奨事項

✔ 直ちにアップグレードする。

✔ API ログを監視する。

✔ リポジトリの権限を制限する。

✔ 不要な登録機能を無効化する。

✔ 侵害が疑われる場合はシークレットをローテーションする。

✔ Git フックの整合性を継続的に監視する。

📜 免責事項

このリポジトリは教育、防御、および研究目的のみを意図しています。

ここで提供される情報は、セキュリティ専門家がこの脆弱性を理解、検出、および緩和するのに役立つことを目的としています。明示的な許可なしに、この情報をシステムに対して使用しないでください。