🚨 CVE-2026-60004 - RCE

Критическое удалённое выполнение кода в Gitea через Git-хук diffpatch

Критическая уязвимость удалённого выполнения кода (RCE), позволяющая выполнять произвольные команды через конечную точку API diffpatch путём злоупотребления выполнением Git-хуков.

---

📖 Обзор

CVE-2026-60004 — это критическая уязвимость удалённого выполнения кода (RCE), затрагивающая Gitea. Дефект присутствует в реализации конечной точки diffpatch, где специально созданные патчи могут злоупотреблять механизмом хуков Git при применении патча.

Успешная эксплуатация позволяет аутентифицированному злоумышленнику с правами на запись в репозиторий выполнять произвольные команды на сервере Gitea с привилегиями службы Gitea.

🔥 Критичность

🎯 Затронутые продукты

• Gitea 1.17
• Gitea 1.18
• Gitea 1.19
• Gitea 1.20
• Gitea 1.21
• Gitea 1.22
• Gitea 1.23
• Gitea 1.24
• Gitea 1.25
• Gitea 1.26
• Gitea 1.27.0

✅ Исправленная версия

Gitea 1.27.1

⚡ Суть уязвимости

Уязвимость берёт начало в конечной точке POST /api/v1/repos/{owner}/{repo}/diffpatch.

Вредоносный патч может внедрить Git-хук во временный репозиторий, создаваемый при обработке патча. Когда Git впоследствии выполняет операции с репозиторием, внедрённый хук запускается автоматически, что приводит к выполнению произвольных команд на сервере.

🛠 Требования к атаке

Злоумышленнику обычно требуется:

• Аутентифицированная учётная запись
• Возможность создавать или изменять репозиторий
• Право на запись в репозиторий

⚠️ Инстансы с включённой публичной регистрацией пользователей подвергаются значительно более высокому риску.

💥 Потенциальное воздействие

Успешная эксплуатация может позволить злоумышленникам:

• Выполнять произвольные команды операционной системы
• Полностью скомпрометировать сервер Gitea
• Получать доступ к приватным репозиториям
• Похищать SSH-ключи
• Получать секреты CI/CD
• Извлекать токены API
• Получать доступ к учётным данным развёртывания
• Перемещаться латерально по внутренней инфраструктуре

🔍 Схема эксплуатации

Attacker
    │
    ▼
Craft malicious diff patch
    │
    ▼
POST /api/v1/repos/.../diffpatch
    │
    ▼
Git applies patch
    │
    ▼
Malicious Git Hook installed
    │
    ▼
Git executes hook
    │
    ▼
Arbitrary Command Execution

📌 Поверхность атаки

Internet
      │
      ▼
Authenticated User
      │
      ▼
diffpatch API
      │
      ▼
Temporary Git Repository
      │
      ▼
Git Hook Execution
      │
      ▼
Remote Code Execution

🛡 Меры по смягчению

Немедленно:

• Обновитесь до Gitea 1.27.1 или новее.
• Отключите публичную регистрацию, если она не нужна.
• Ограничьте создание репозиториев.
• Ограничьте права на запись в репозиторий.
• Отслеживайте подозрительные запросы к diffpatch.
• Проверяйте Git-репозитории на наличие несанкционированных хуков.
• Смените раскрытые учётные данные при подозрении на компрометацию.

🔎 Индикаторы компрометации

Специалистам следует обращать внимание на:

• Неожиданные файлы Git-хуков
• Подозрительные дочерние процессы, порождаемые Gitea
• Неизвестные выполнения shell-команд
• Необычные вызовы API к /diffpatch
• Несанкционированные изменения репозиториев
• Неожиданные исходящие сетевые соединения

📊 Оценка риска

📚 Технические детали

🚨 Рекомендации по безопасности

✔ Немедленно обновитесь.

✔ Отслеживайте журналы API.

✔ Ограничьте права доступа к репозиториям.

✔ Отключите неиспользуемые функции регистрации.

✔ Смените секреты при подозрении на компрометацию.

✔ Постоянно контролируйте целостность Git-хуков.

📜 Отказ от ответственности

Этот репозиторий предназначен исключительно для образовательных, защитных и исследовательских целей.

Предоставленная здесь информация призвана помочь специалистам по безопасности понять, обнаружить и устранить уязвимость. Не используйте эту информацию против систем без явного разрешения.