Gitea unter Beschuss: Kritische RCE CVE-2026-60004 im KEV-Katalog, über 8.300 Server exponiert

Eine kritische Schwachstelle im Diffpatch von Gitea

Die Schwachstelle CVE-2026-60004 betrifft Gitea vor Version 1.27.1 und ermöglicht die Remotecodeausführung über die diffpatch-API durch die Installation eines vom Angreifer kontrollierten Git-Hooks. Der Fehler wurde vom Salesforce-Forscher Shai Rod gemeldet, wie BleepingComputer berichtet.

Gitea hat am 27. Juli das Korrektur-Release 1.27.1 veröffentlicht. Obwohl der Patch seit mehreren Wochen verfügbar ist, bleibt die Lage kritisch: Shadowserver hat am 27. August 2026 8.393 verwundbare IP-Adressen identifiziert. BleepingComputer spricht im Titel von über 8.300 exponierten Servern; im Artikeltext steigt die Zahl auf fast 8.400. Die konkrete Zahl von Shadowserver, 8.393 IPs, ist der Referenzwert.

Die CISA hat die CVE am 25. August 2026 in den Known Exploited Vulnerabilities Catalog aufgenommen, mit einer Frist für US-amerikanische zivile Bundesbehörden (FCEB) bis zum 28. August 2026, gemäß der Binding Operational Directive BOD 26-04.

Wie der Angriff technisch funktioniert

CVE-2026-60004 hat einen CVSS-3.1-Wert von 9,8 (kritisch), mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H und der Klassifizierung CWE-94 (Code Injection). Das GitHub Advisory GHSA-rcr6-4jqh-j84m beschreibt den Mechanismus im Detail.

Die Datei services/repository/files/patch.go wendet vom Angreifer kontrollierte Patches in einem gemeinsamen temporären Bare-Clone an. Durch zweimaliges Senden desselben Patches entsteht eine Add/Add-Kollision. Daraufhin extrahiert der Three-Way-Fallback von Git den indizierten Pfad auch dann, wenn die Operation mit --cached erfolgt.

In einem Bare-Clone stimmt die Repository-Root mit $GIT_DIR überein. Ein ausführbarer Eintrag namens hooks/post-index-change wird dadurch zu einem aktiven Git-Hook. Git ruft den Hook beim Schreiben des Index auf: Der vom Repository kontrollierte Inhalt führt beliebige Befehle als Systembenutzer von Gitea aus, normalerweise git. Im Advisory wird eine Ausgabe mit uid=1000(git) gid=1000(git) und einem temporären Pfad unter /data/gitea/tmp/ gezeigt.

Ein relevantes Detail: Der Rückgabewert des Hooks wird nicht an die diffpatch-Antwort weitergegeben. Der beigefügte Proof of Concept speichert die Ausgabe des Befehls in Git-Objekten und erstellt einen Branch mit dem Ergebnis, sodass keine ausgehende Verbindung erforderlich ist. Das Ergebnis wird über authentifiziertes Smart HTTP abgerufen.

Die offene Registrierung ist nur für den Angriffspfad ohne vorherige Anmeldedaten erforderlich. Mit der standardmäßig offenen Registrierung kann sich ein nicht authentifizierter Besucher registrieren, ein Repository erstellen und den erforderlichen Schreibzugriff erlangen. Das Deaktivieren der offenen Registrierung blockiert diesen Pfad, aber das Risiko bleibt für Benutzer mit Schreibzugriff auf Repositories bestehen. Das im Advisory enthaltene Skript gitea_diffpatch_rce_poc.py verwendet ein bereits vorhandenes Gitea-Konto und sollte nur gegen Testinstanzen ausgeführt werden, in denen das Konto Repositories erstellen darf.

Aktive Ausnutzung und CISA-Hinweise

Die Aufnahme in den KEV-Katalog signalisiert, dass die Schwachstelle nicht theoretisch ist: Sie wird in freier Wildbahn ausgenutzt. Die CISA hat noch keine Details zu den Angriffen bereitgestellt, aber laut BleepingComputer dürfte die Entscheidung wahrscheinlich durch Berichte über Ausnutzung mit Verbreitung von Kryptomining-Malware auf nicht aktualisierten Gitea-Servern motiviert sein.

Für US-Bundesbehörden war die Frist zur Anwendung der Gegenmaßnahmen der 28. August 2026. Die von CISA geforderte Maßnahme ist die Anwendung der Gegenmaßnahmen gemäß den Anweisungen des Herstellers, in Übereinstimmung mit BOD 26-04 „Prioritizing Security Updates Based on Risk“ und den „Forensics Triage Requirements“. Für Cloud-Dienste ist der anwendbare BOD 26-04-Leitfaden zu befolgen oder das Produkt abzuschalten, wenn Gegenmaßnahmen nicht verfügbar sind. Verantwortliche müssen die Internet-Exposition jedes Assets bewerten und die Einhaltung der BOD 26-04-Richtlinien sicherstellen.

Ein zweites kritisches Problem: CVE-2026-20896

Es ist nicht die erste kritische Schwachstelle bei Gitea in letzter Zeit. Im Juli haben böswillige Akteure laut BleepingComputer CVE-2026-20896 missbraucht, eine weitere Schwachstelle mit CVSS 9,8, diesmal im offiziellen Docker-Image von Gitea.

CVE-2026-20896 ist als CWE-284 (Improper Access Control) klassifiziert. Versionen des Docker-Images bis einschließlich 1.26.2 verwenden REVERSE_PROXY_TRUSTED_PROXIES=* als Standardeinstellung. Dies ermöglicht es jeder Quell-IP, einen Benutzer zu impersonieren, wenn Reverse-Proxy-Authentifizierungsheader wie X-WEBAUTH-USER aktiviert sind. BleepingComputer beschreibt dies als Authentication Bypass, der Gitea-Instanzen mit aktivierten Reverse-Proxy-Authentifizierungsheadern betrifft.

Der NVD-Eintrag gibt keine explizite korrigierte Version für CVE-2026-20896 an. Es scheint, dass Versionen bis 1.26.2 betroffen sind. Mangels weiterer Hinweise ist es notwendig, die Updates des Herstellers für das Docker-Image zu überprüfen.

Was zu tun ist

Für CVE-2026-60004 ist die einzige angegebene Korrektur ein Update von Gitea auf Version 1.27.1 oder höher. In den konsultierten Quellen sind keine offiziellen alternativen Workarounds ersichtlich. Das Deaktivieren der offenen Registrierung verringert die Exposition gegenüber dem Pfad ohne vorherige Anmeldedaten, beseitigt aber nicht das Risiko für Benutzer mit Schreibzugriff auf Repositories.

Wer eine im Internet exponierte Gitea-Instanz betreibt, sollte sofort die installierte Version überprüfen. Die Shadowserver-Zahl von 8.393 verwundbaren IPs am 27. August zeigt, dass Tausende von Servern den Patch noch nicht angewendet haben.

Für CVE-2026-20896 müssen die Updates des offiziellen Docker-Images überprüft werden und in der Zwischenzeit die Konfiguration von REVERSE_PROXY_TRUSTED_PROXIES und der Reverse-Proxy-Authentifizierungsheader kontrolliert werden. Das Vorhandensein von zwei kritischen Schwachstellen innerhalb weniger Wochen macht Gitea zu einem konkreten Ziel für diejenigen, die nach exponierten Code-Hosting-Servern suchen.