Gitea vá lỗ hổng RCE cho phép ghi hook Git để chạy lệnh hệ thống
"Gitea patched a critical remote code execution flaw, tracked as CVE-2026-60004 (CVSS 9.8), affecting versions 1.17 through 1.27.0 before 1.27.1. An authenticated user with repository write access could abuse the diffpatch endpoint to plant a Git hook in a temporary bare clone and execute shell commands as the Gitea service account; the fix changes the temporary clone to non-bare and was released in 1.27.1."
Tác động cao vì khai thác có thể dẫn tới RCE và chiếm quyền theo tài khoản hệ thống của Gitea; có thể làm lộ secrets ứng dụng/môi trường và dữ liệu nội bộ tùy mức cô lập.
Nguy cơ gián đoạn và rò rỉ dữ liệu tăng do kẻ tấn công có thể thực thi lệnh và truy cập tài nguyên nội bộ; ảnh hưởng đặc biệt lớn với hệ thống CI/CD và kho mã quan trọng.
Gitea (nền tảng Git tự lưu trữ) đã phát hành bản vá cho một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng. Theo thông tin công bố, người dùng đã có quyền ghi vào repository có thể biến nội dung patch do kẻ tấn công kiểm soát thành một Git hook và thực thi lệnh shell dưới tài khoản dịch vụ của Gitea.
Lỗi được theo dõi là CVE-2026-60004 với CVSS 9.8. Phạm vi ảnh hưởng là các phiên bản 1.17 đến trước 1.27.1; bản sửa được phát hành trong Gitea 1.27.1. Khai thác yêu cầu gọi API có xác thực và quyền ghi repository, đồng thời tận dụng endpoint POST /api/v1/repos/{owner}/{repo}/diffpatch.
Cơ chế khai thác liên quan việc áp dụng patch trong một temporary bare clone; khi Git chạy chế độ ba phía (three-way fallback) có thể vô tình ghi một tệp vào thư mục hook (ví dụ hooks/post-index-change), khiến Git tự chạy khi cập nhật index. PoC cho thấy có thể lấy đầu ra lệnh mà không cần callback ra ngoài.
Khuyến nghị: nâng cấp lên 1.27.1; rà soát cấu hình diffpatch và quyền ghi repository của người dùng. Việc tắt đăng ký công khai có thể giảm đường tạo tài khoản mới nhưng không thay thế bản vá và không bảo vệ trước người đã có quyền ghi.