CISA warnt vor aktiver Ausnutzung von Gitea-Code-Injection

TL;DR

• Eine kritische Schwachstelle in Gitea ermöglicht es Angreifern mit Schreibrechten für ein Repository, unautorisierte Shell-Befehle über die diffpatch-API auszuführen.
• US-Sicherheitsbehörden haben die Schwachstelle auf die Liste aktiv ausgenutzter Schwachstellen gesetzt, was sofortige Software-Updates in selbst gehosteten Entwicklerumgebungen erforderlich macht.

Hintergrund

Gitea ist eine quelloffene, leichtgewichtige, selbst gehostete Git-Plattform, die von Software-Teams weitverbreitet genutzt wird, um Quellcode zu verwalten, Continuous-Integration-Workflows auszuführen und Pull-Request-Reviews im Team zu unterstützen. Da Gitea in privaten Unternehmensnetzwerken oder selbst verwalteten Cloud-Instanzen läuft, verlassen sich Organisationen darauf, um proprietären Code und interne Automatisierungspipelines zu schützen. Die Kompromittierung eines zentralen Versionsverwaltungsservers verschafft Angreifern direkten Zugriff auf proprietäre Softwarearchitekturen, Build-Konfigurationen und Netzwerk-Anmeldedaten.

Was passiert ist

Cybersicherheitsbehörden haben den Katalog bekannter ausgenutzter Schwachstellen nach bestätigten Berichten über bösartige Angriffe auf selbst gehostete Gitea-Installationen aktualisiert [^1]. Die Schwachstelle mit der Kennung CVE-2026-60004 beinhaltet eine Remote-Code-Injection-Lücke in Giteas interner diffpatch-API-Verarbeitungsschicht [^1]. Der diffpatch-Endpunkt verarbeitet formatierte Patch-Dateien, die von Client-Anwendungen bei interaktiven Code-Vergleichen, Pull-Request-Auswertungen und automatisierter Branch-Synchronisierung übermittelt werden [^1].

Die Schwachstelle tritt auf, wenn ein authentifizierter Benutzer mit normalen Schreibrechten für ein Repository eine speziell präparierte Patch-Payload an den betroffenen Endpunkt sendet [^1]. Beim Parsing des Patches bereinigt Gitea Dateipfad-Argumente und binäre Hook-Metadaten im Unified-Diff-Datenstrom nicht ordnungsgemäß [^1]. Infolgedessen erlaubt die Parsing-Engine den Eingabedaten, die normalen Grenzen des Working-Trees zu verlassen und beliebige ausführbare Dateien direkt in interne Repository-Steuerungsverzeichnisse auf dem darunterliegenden Host-Dateisystem zu schreiben [^1].

Durch das Platzieren eines ausführbaren Skripts in Zielverzeichnissen wie den Git-Hook-Ordnern etabliert der Angriff persistente Auslösemechanismen auf dem Host-Server [^1]. Nachfolgende Git-Aktionen – wie das Empfangen eines Commits, das Aktualisieren einer Branch-Referenz oder das Mergen eines Pull Requests – führen das platzierte Skript automatisch aus [^1]. Die Payload führt beliebige Shell-Befehle mit den vollen Ausführungsrechten des System-Benutzerkontos aus, unter dem der Gitea-Daemon läuft [^1][^2]. Behördliche Warnungen weisen darauf hin, dass Bedrohungsakteure diese Schwachstelle aktiv ausnutzen, um persistente Webshells zu platzieren und private Infrastrukturumgebungen zu kompromittieren [^2].

Warum es wichtig ist

CVE-2026-60004 verdeutlicht einen wiederkehrenden Architekturfehler in moderner Software-Entwicklungsinfrastruktur: die Vermischung von Bearbeitungsrechten auf Anwendungsebene mit Befehlsausführungsrechten auf Systemebene. Versionsverwaltungsplattformen sind stark von ereignisgesteuerten Skripten, sogenannten Git-Hooks, abhängig, um Repository-Wartung, Formatprüfungen und Integrationstests zu automatisieren. Wenn eine API-Parsing-Routine Web-Requests erlaubt, beliebige Dateien in versteckten Git-Metadatenordnern wie .git/hooks abzulegen, verschwindet die Grenze zwischen Quellcodedaten und der Ausführung auf dem Host-Betriebssystem vollständig.

Diese architektonische Schwachstelle stellt eine ernsthafte Sicherheitsbedrohung für Unternehmen dar, da Schreibrechte in Versionsverwaltungssystemen weit verbreitet sind. Entwicklerteams weisen Repository-Schreibrechte routinemäßig Junior-Entwicklern, externen Dienstleistern, CI-Bots und Webhook-Diensten von Drittanbietern zu. Nach üblichen Betriebsmodellen sollte ein Schreibzugriff nur das Ändern von Quellcodedateien in isolierten Sandboxes erlauben, niemals jedoch das Ausführen von Betriebssystem-Binärdateien auf dem Server, der den Dienst hostet. Die Umwandlung normaler Schreibrechte in uneingeschränkten Shell-Zugriff untergräbt etablierte Zugriffskontrollgrenzen in der gesamten Software-Lieferkette.

Darüber hinaus speichern selbst gehostete Git-Instanzen häufig wertvolle System-Assets im Arbeitsspeicher der Anwendung oder in lokalen Konfigurationsdateien. Sobald ein Angreifer eine Befehlsausführung unter dem Gitea-Systembenutzer erreicht, kann er Datenbank-Connection-Strings, private SSH-Schlüssel, Anmeldedaten für Cloud-Dienste und Tokens für interne private Registries extrahieren. Mit diesen kompromittierten Zugangsdaten können sich Angreifer lateral im internen Netzwerk bewegen, automatisierte Software-Release-Binärdateien manipulieren oder stillschweigend Backdoors in Produktions-Codebasen einschleusen, bevor Erkennungsmechanismen anschlagen.

Ein Beispiel aus der Praxis

Stell dir ein Technologieunternehmen vor, das einen selbst gehosteten Gitea-Server auf einer internen Cloud-Instanz betreibt. Ein Angreifer verschafft sich Zugriff auf das Konto eines Junior-Entwicklers, der Schreibrechte für ein unbedeutendes internes Hilfs-Repository besitzt.

Anstatt normalen Code zu committen, sendet der Angreifer eine präparierte HTTP-Payload an den diffpatch-API-Endpunkt von Gitea. Die Anfrage enthält Path-Traversal-Anweisungen, die ein ausführbares Shell-Skript im Verzeichnis .git/hooks/post-receive des Repositorys auf dem Server platzieren.

Eine Stunde später pusht ein automatisierter Build-Dienst einen routinemäßigen Versions-Tag in das Repository. Der Git-Dienst führt das versteckte Hook-Skript automatisch aus und stellt eine ausgehende Reverse-Connection zu einem externen Server her. Der Angreifer erhält augenblicklich die vollständige Kontrolle über die Kommandozeile des Host-Servers, auf dem die Gitea-Installation läuft.

Passende Produkte

Wir empfehlen dieses Buch, weil es erklärt, wie Eingabe-Parsing-Fehler zu Remote Code Execution in Webanwendungen führen.