CISA cảnh báo lỗ hổng RCE nghiêm trọng trên Gitea đang bị khai thác
"CISA warned that CVE-2026-60004, a critical Gitea remote code execution flaw with a CVSS score of 9.8, is being actively exploited. The issue affects Gitea versions from 1.17 and was patched in 1.27.1; attackers can abuse the diffpatch endpoint to plant a Git hook and execute shell commands as the Gitea service user, with reported abuse delivering a miner-like payload on exposed instances."
Ảnh hưởng ở mức nghiêm trọng do có thể dẫn đến thực thi mã từ xa và cài tải trọng độc hại trên máy chủ Gitea. Việc đang bị khai thác làm tăng rủi ro cho hệ thống chưa vá.
Có thể gây chiếm dụng tài nguyên CPU, gián đoạn dịch vụ và tăng chi phí vận hành. Các hệ thống Gitea công khai hoặc cho phép đăng ký mở cần ưu tiên kiểm tra và cập nhật sớm.
CISA đã cảnh báo về việc CVE-2026-60004 trên Gitea đang bị khai thác ngoài thực tế. Đây là lỗ hổng remote code execution với CVSS 9.8, cho phép kẻ tấn công có quyền ghi vào repository thực thi lệnh shell dưới tài khoản dịch vụ của Gitea. Theo khuyến cáo, lỗi ảnh hưởng đến các phiên bản từ 1.17 và đã được vá trong 1.27.1.
Cơ chế khai thác liên quan đến diffpatch endpoint, nơi nội dung patch độc hại có thể được dùng để cài một Git hook và thực thi mã. Trong cấu hình mặc định cho phép open registration, một tác nhân bên ngoài có thể tự tạo tài khoản, tạo repository và đạt được quyền ghi cần thiết mà không cần thông tin xác thực sẵn có.
Một báo cáo thực tế cho thấy kẻ tấn công đã triển khai tải trọng giống cryptominer dropper, đồng thời tìm tiến trình dùng CPU cao, cố gắng dừng tiến trình cạnh tranh, tải payload theo kiến trúc hệ thống và xóa tệp sau khi chạy.
Khuyến nghị: nâng cấp lên 1.27.1 hoặc bản vá mới hơn, rà soát cấu hình DISABLE_REGISTRATION, REQUIRE_SIGNIN_VIEW và các tùy chọn đăng ký, đồng thời kiểm tra log để phát hiện dấu hiệu khai thác và tiến trình tiêu thụ CPU bất thường.