Conteúdo do Repositório

Ambiente Testado

A prova de conceito foi validada no seguinte ambiente isolado:

A exploração bem-sucedida produziu uma saída de comando semelhante a:

Pré-requisitos

• Python 3.8 ou posterior
• Acesso de rede à instância Gitea de destino
• Uma conta Gitea válida com permissões de criação e escrita de repositório, ou uma instância de laboratório de destino com registro público habilitado
• Um ambiente de teste explicitamente autorizado

O script usa apenas a biblioteca padrão do Python e não requer pacotes adicionais.

Uso

Exemplo para uma instância de laboratório local:

O script primeiro tenta o registro via web e, em seguida, autentica com as credenciais fornecidas. Isso permite que o mesmo comando funcione tanto com uma nova conta em uma instância com registro aberto quanto com uma conta existente.

Análise Técnica

A cadeia de exploração consiste em quatro estágios:

1. Envio de patch controlado pelo atacante
   POST /api/v1/repos/{owner}/{repo}/diffpatch aplica o conteúdo de patch fornecido usando git apply --index --recount --cached --binary --ignore-whitespace --whitespace=fix -3 dentro de um clone temporário.

2. Posicionamento do caminho do hook
   O repositório temporário é criado como um clone bare e compartilhado. Em um repositório bare, a raiz do repositório também é $GIT_DIR; consequentemente, o caminho do patch hooks/post-index-change é resolvido dentro do diretório de hooks ativo do Git.

3. Materialização do hook executável
   O mesmo patch é enviado duas vezes. A segunda aplicação produz um conflito add/add, fazendo com que o fallback de três vias materialize o caminho em disco com modo 100755, apesar do uso de --cached. Uma atualização subsequente do índice invoca post-index-change, executando o código shell injetado como a conta de serviço do Gitea.

4. Recuperação de saída nativa do Git
   O hook identifica o repositório de origem através de objects/info/alternates, armazena a saída do comando como um blob Git, cria uma árvore e um commit, e atualiza refs/heads/output-leak. A prova de conceito então recupera o resultado através da API de arquivos brutos do Gitea. Essa técnica não requer uma conexão de saída direta a partir do alvo.

Impacto

A exploração bem-sucedida concede execução de comandos com os privilégios da conta de serviço do Gitea. Dependendo da configuração de implantação, um atacante pode conseguir acessar:

• app.ini e credenciais de banco de dados
• SECRET_KEY, INTERNAL_TOKEN e segredos relacionados ao LFS
• Repositórios montados ou legíveis pelo processo do Gitea
• Variáveis de ambiente do processo
• Serviços internos alcançáveis a partir do host ou contêiner do Gitea

Foi confirmado que a conta do laboratório tinha acesso de leitura a app.ini.

Indicadores de Comprometimento

Defensores devem investigar os seguintes artefatos e padrões de requisição:

• Duas requisições idênticas ou quase idênticas para /api/v1/repos/*/*/diffpatch em rápida sucessão
• Um branch chamado output-leak
• Commits de autoria de poc <[email protected]>
• Arquivos executáveis inesperados chamados hooks/post-index-change em repositórios bare ou diretórios de clone temporários
• Atividade suspeita abaixo de caminhos como /data/gitea/tmp/local-repo/upload.git*

Esses indicadores descrevem a prova de conceito incluída e não são exaustivos; um exploit modificado pode usar caminhos, refs, identidades ou canais de saída diferentes.

Correção e Mitigação

1. Atualize para o Gitea 1.27.1 ou posterior. Esta é a correção recomendada. A correção altera o fluxo de trabalho afetado para usar um clone temporário não bare.
2. Restrinja a API diffpatch no proxy reverso até que a atualização seja concluída, por exemplo, negando acesso a rotas correspondentes a /api/v1/.../diffpatch. Valide a regra em relação a integrações legítimas antes da implantação.
3. Desabilite o registro público definindo DISABLE_REGISTRATION=true se isso não for operacionalmente necessário. Isso reduz a alcançabilidade não autenticada, mas não protege contra usuários existentes com permissão de escrita em repositórios.
4. Revise logs e refs de repositórios em busca dos indicadores acima e rotacione credenciais ou segredos acessíveis à conta do Gitea se houver suspeita de comprometimento.

Para o contêiner de laboratório usado nesta pesquisa, a remoção pode ser realizada com:

Uso Responsável

Este material é fornecido para ajudar defensores a reproduzir, compreender, detectar e corrigir a vulnerabilidade. Operadores devem testar apenas em ambientes isolados e seguir os requisitos de autorização e divulgação de sua organização.