LONDON (IT BOLTWISE) – Gitea hat eine kritische Remote-Code-Execution in der Self-Hosted-Git-Plattform geschlossen. Dabei kann ein Angreifer mit normalem Repository-Write-Zugriff aus Patch-Inhalten einen Git-Hook platzieren und Shell-Kommandos im Kontext des Gitea-Server-Accounts ausführen. Betroffen sind Gitea-Versionen ab 1.17 bis vor 1.27.1, die Korrektur liegt in 1.27.1. Entscheidend: Das Default-Setup lässt öffentliche Registrierungen zu, wodurch ein externer Angreifer ohne Vorabzugriff an die nötige Berechtigung kommen kann.
Gitea gilt vielen Teams als pragmatische Alternative zu kommerziellen Git-Plattformen, weil es sich im eigenen Betrieb schnell integrieren lässt. Genau dort setzt die gemeldete Schwachstelle an: Eine fehlerhafte Verarbeitung von Patch-Inhalten im Diffpatch-Endpunkt erlaubt es einem Angreifer, aus einem normalen Repository-Write-Zugriff heraus eigene Git-Hooks zu platzieren. Das ist mehr als ein klassisches „Ausführen externer Befehle“ durch unsichere Parameter – hier entsteht der Effekt indirekt über Git-Mechaniken, die beim Aktualisieren eines Indexes aktiv werden.
Technisch verfolgt die Sicherheitsbeschreibung den Weg über die API POST /api/v1/repos/{owner}/{repo}/diffpatch. Der Endpunkt übernimmt einen gelieferten Patch und wendet ihn in einer temporären Umgebung an: laut Advisory in einer gemeinsamen „bare“ temporären Clone-Umgebung. In fehlerhaften Builds wird dabei git apply mit Parametern wie --index, --recount, --cached und --binary aufgerufen; zusätzlich greift eine -3-Option für einen Three-Way-Fallback, wenn die Server-Git-Version Git 2.32 oder neuer ist. Genau diese Kombination öffnet den Weg für einen Add/Add-Kollisionsfall, in dem der Three-Way-Fallback offenbar in einen Pfad hineinprüft, obwohl die Operation eigentlich im „cached“-Modus laufen soll.
Für die Wirkung im System ist besonders entscheidend, dass das temporäre Clone-Verzeichnis bare ist und damit als Git-Verzeichnis-Root in $GIT_DIR endet. Wenn ein ausführbares File in hooks/post-index-change landet, wird es für Git als Hook sichtbar. Git startet den Hook während der Index-Aktualisierung – und damit laufen die Kommandos nicht irgendwo isoliert im „Sandbox“-Speicher, sondern im Kontext des Betriebssystems-Accounts, unter dem Gitea läuft. Das macht die Schwachstelle so kritisch: erfolgreiche Ausnutzung bedeutet typischerweise Zugriff auf alle Geheimnisse, die der Gitea-Prozess in der umgebenden Umgebung lesen darf, darunter Anwendungs- und Umgebungsdaten, Repository-Inhalte, Datenbankzugänge, OAuth-Token und je nach Netzwerksegmentierung auch interne Dienste.
Der Angriffspfad ist außerdem nicht an besondere Vorab-Accounts gebunden. Die Advisory beschreibt, dass die anfängliche Authentifizierung zwar erforderlich ist, das Default-Setup jedoch öffentliche Registrierung ermöglicht: ein externer Besucher kann bei unveränderten Standardeinstellungen einen Account und ein Repository anlegen und bekommt damit die notwendige Repository-Write-Berechtigung, ohne dass E-Mail-Bestätigung oder manuelle Freigabe zwingend wären. Der Proof-of-Concept nutzt genau diesen Weg: Er erstellt ein initialisiertes privates Repository, sendet den schädlichen Patch zweimal, holt anschließend die Kommandoausgabe wieder ab – und benötigt dafür keinen Outbound-Callback. Stattdessen werden die Ergebnisse in Git-Objekte geschrieben, ein Branch mit dem Resultat wird erzeugt und per „smart HTTP“ kann der Angreifer das Paket anschließend abrufen.
Die konkrete Abhängigkeit von Umgebung und Build-Details ist in der Schwachstellenbeschreibung klar eingegrenzt: Ausnutzung erfordert Repository-Write-Zugriff, Git 2.32 oder neuer (für den Three-Way-Fallback) sowie einen aktivierten diffpatch-Routenpfad und ein temporäres Dateisystem, auf dem die Hook-Datei ausführbar abgelegt werden kann. Gleichzeitig erklärt die Advisory, warum das Problem im Betrieb besonders leicht zu übersehen ist: Im Changelog findet sich der entscheidende Fix nicht prominent unter „Security“, sondern als „refactor: git patch apply“ in MISC. Laut Beschreibung liegt die Korrektur darin, das temporäre Clone von „bare“ auf „non-bare“ umzustellen und einen Kommentar zu berücksichtigen, der davor warnt, dass --index auch Operationen im Working Tree anstoßen kann. Das Update wurde in der Codebasis am 26. Juli 2026 gemerged und zurückportiert, während Version 1.27.1 am 27. Juli veröffentlicht und die Advisory am 28. Juli nachgezogen wurde.
Für Verantwortliche in Infrastruktur- und DevOps-Teams bedeutet das vor allem eine klare Handlungslogik: Patchen auf 1.27.1 ist der effektive Schlusspunkt, denn eine Teilmaßnahme wie das Deaktivieren der offenen Registrierung entfernt nur die „Account-Erstellung“-Strecke. Bestehende Nutzer mit Repository-Write-Zugriff bleiben weiterhin in Reichweite, wenn die betroffene Build-Variante unverändert läuft. Aus Sicht des Patch-Managements lohnt sich zudem ein Abgleich der Git-Version auf den Servern und der tatsächlich aktivierten API-Endpunkte, weil der exploitfähige Pfad an mehrere Bedingungen geknüpft ist. Als Meldung wurde die Schwachstelle dem Sicherheitsspezialisten Shai Rod, der unter NightRang3r auftritt, zugeschrieben; Gitea nennt ihn in der Advisory als Reporter.
Ein zusätzlicher Kontextbaustein: Rod hatte die RCE zusammen mit einer separaten File-Inclusion-Thematik in einem vorgeschalteten Material gezeigt. Die spätere Beschreibung ordnet das für Version 1.27.1 an, indem dort am Org-Mode-Renderer ein Verhalten geändert wurde, sodass #+INCLUDE-Pfadangaben als Klartext zurückgegeben werden, statt serverseitig vom Dateisystem gelesen zu werden. Für dieses File-Inclusion-Thema wurde allerdings nach Angaben der Quelle kein eigenes Advisory oder eine separate CVE veröffentlicht. Damit bleibt die Kernbotschaft für die Praxis eindeutig: Wer auf Git-Plattformen mit eigener Auth- und Patch-Logik setzt, sollte die 1.27.1-Umstellung nicht als „Changelog-Refactor“ behandeln, sondern als direkten Sicherheitsfix priorisieren und die diffpatch-Funktion sowie die Git-Versionen im Betrieb prüfen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gitea-Update stoppt RCE über Git-Hook per Diffpatch (CVE-2026-60004)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gitea-Update stoppt RCE über Git-Hook per Diffpatch (CVE-2026-60004)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gitea-Update stoppt RCE über Git-Hook per Diffpatch (CVE-2026-60004)« bei Google Deutschland suchen, bei Bing oder Google News!