LONDON (IT BOLTWISE) – Gitea hat eine kritische Remote-Code-Execution-Lücke geschlossen, die aus Repository-Write-Zugriff direkt einen Git-Hook auslösen kann. Angreifer können über den diffpatch-Endpunkt manipulierte Patch-Inhalte in einem temporären Clone so verarbeiten, dass ein ausführbares Hook-Skript landet und beim Index-Update ausgeführt wird. Betroffen sind Gitea-Versionen ab 1.17 bis vor 1.27.1, behoben in 1.27.1. Da die Registrierung in Standardkonfigurationen oft offen ist, reicht für einen Angriff im Grunde „normaler“ Account- und Repository-Write-Zugriff.
Gitea ist bei vielen Teams mehr als nur ein „Self-Hosted-Git“: Es ist der zentrale Einstiegspunkt für Pull Requests, Code-Reviews und Automatisierungen rund um die Codebasis. Umso ernster wirkt daher die Meldung, dass eine kritische Schwachstelle mittlerweile mit CVE-2026-60004 (CVSS 9,8) gepatcht wurde. Der Kernfehler besteht darin, dass ein Patch, der eigentlich nur angewendet werden soll, in einer konkreten Prozesskette zu einem ausführbaren Git-Hook werden kann. Dabei reicht ein Authentifizierungskontext plus Schreibrechte im Repository: Ein Angreifer kann die Payload als Repository-Diffpatch einreichen und erreicht dann die Ausführung von Shell-Kommandos im Kontext des Gitea-Dienstkontos.
Technisch spannend ist die genaue Auslöserlogik, weil sie auf die Interaktion zwischen Git-Optionen, temporären Klonen und Hook-Platzierung abzielt. Laut Sicherheitsbeschreibung betrifft der Angriffsweg den POST-Endpunkt „/api/v1/repos/{owner}/{repo}/diffpatch“. Der Dienst verarbeitet den vom Nutzer gelieferten Patch innerhalb eines gemeinsam genutzten temporären bare Git-Clones. In anfälligen Builds wird dabei git apply so aufgerufen, dass Optionen wie „–index“, „–recount“, „–cached“ und „–binary“ genutzt werden. Wenn auf dem System zudem Git 2.32 oder neuer läuft, greift zusätzlich eine „-3“-Three-Way-Fallback-Variante. Entscheidend ist: In der beschriebenen Kollision „add/add“ kann der Three-Way-Fallback einen Pfad aus dem Index heraus testen, obwohl die Operation konzeptionell mit „–cached“ arbeitet.
Der eigentliche Missbrauch entsteht dann durch die Besonderheit „bare“. Ein bare Repository besitzt kein Working Tree im klassischen Sinn, seine „Wurzel“ ist vielmehr das $GIT_DIR. Dadurch landet eine ausführbare Datei, die in dem Git-Patch als „hooks/post-index-change“ adressiert wird, exakt im Git-Hook-Verzeichnis des temporären Clones. Git führt dieses Hook-Skript beim Aktualisieren des Index aus. Der bereitgestellte Proof-of-Concept folgt daher einem relativ geraden Weg: Er meldet sich mit einem normalen Account an, erstellt ein initialisiertes privates Repository, sendet denselben bösartigen Patch zweimal, und liest danach die Kommandoausgabe aus. Für den Ablauf ist kein Outbound-Callback nötig, weil der PoC die Ausgabe in Git-Objekten ablegt und anschließend über Smart HTTP in einer per Branch erzeugten Struktur abrufbar macht.
Damit verschiebt sich die Bedrohungsrealität stark vom „hochkomplexen Angriff“ hin zu „zu leichter Eintrittsschranke“. Die Voraussetzung „Repository write access“ klingt zunächst nach einer Hürde, ist aber auf vielen Gitea-Installationen in der Praxis nur ein formaler Schritt: Die Sicherheitsunterlagen weisen darauf hin, dass Registrierung standardmäßig häufig offen ist, ohne zwingende E-Mail-Verifikation oder manuelle Freigabe, ohne restriktive Markierung neuer Nutzer und ohne defaultmäßige Begrenzung bei der Repository-Erstellung. Über diesen Pfad kann ein externer Besucher auf einer unveränderten Installation zunächst einen Account anlegen und sich dann die benötigten Schreibrechte beschaffen. Ergänzend nennt Gitea Bedingungen, die zwar nicht überall gleichzeitig erfüllt sind, aber im Alltag durchaus vorkommen können: diffpatch-Routen müssen aktiviert sein, der Host muss Git 2.32 oder neuer nutzen, und das temporäre Dateisystem muss beschreib- sowie ausführbar sein.
Für den potenziellen Schaden ist das wichtigste Detail die Privilegienebene: Bei erfolgreicher Ausnutzung erhält der Angreifer die Rechte des Betriebssystems-Accounts, unter dem Gitea läuft. Je nach Isolation der Umgebung sind damit sehr unterschiedliche Bereiche gefährdet – von Anwendungseinstellungen und Umgebungsvariablen über montierte Repositories bis hin zu Datenbankzugängen und weiteren Secrets wie OAuth-Anmeldeinformationen. Auch erreichbare interne Dienste können in Mitleidenschaft geraten, falls das Gitea-System in einem Netzsegment steht, das interne Services über Netzwerkzugriff bereitstellt. Gitea macht in der Beschreibung damit klar, dass die Lücke nicht nur „Code im Repository“ betrifft, sondern potenziell in die Betriebsebene durchschlägt.
Der eigentliche Fix wirkt gleichzeitig simpel und ist genau deshalb in der Praxis schwer zu übersehen. Gitea hat den temporären Clone von „bare“ auf „non-bare“ umgestellt. In den Begleitkommentaren wird außerdem explizit gewarnt, dass Git-Kommandos mit „–index“ in bestimmte Konfigurationen hinein operieren und dabei im ungünstigen Fall sogar auf den Working Tree zugreifen können. Laut Zeitstrahl wurde die Änderung am 26. Juli 2026 gemerged und backportiert, während Version 1.27.1 bereits am 27. Juli veröffentlicht wurde; die Sicherheitsmitteilung folgte am 28. Juli. In den Release Notes taucht die Änderung eher als allgemeines „refactor: git patch apply“ auf und nicht als Security-Eintrag, was die Gefahr erhöht, dass Betreiber den Patch „nur im Changelog gelesen“ haben, ohne die Versionsdetails gegen ihre eigene Git-Bibliotheks- und Konfigurationslage abzugleichen.
Für die operative Priorisierung heißt das: Ein Update auf 1.27.1 sollte als Pflichtmaßnahme behandelt werden, auch wenn die Installation bislang keine auffälligen Aktivitäten zeigte. Zusätzlich kann das Schließen der offenen Registrierung den öffentlichen Pfad zur Beschaffung von Repository-Write-Zugriffen reduzieren, ersetzt aber kein Update – denn bereits vorhandene Nutzer mit passenden Rechten bleiben weiterhin ein Risiko, und der eigentliche Bug bleibt ohne Codeänderung bestehen. Dass Gitea Cloud-Instanzen nach eigenen Angaben automatisch aktualisiert, adressiert vor allem den „Zeitfenster“-Effekt. Gleichzeitig bleibt offen, ob Ausnutzungen bereits vor der Verfügbarkeit der Fix-Version oder danach stattgefunden haben; die öffentliche Advisory macht in dieser Hinsicht keine belastbare Aussage, erwähnt aber einen Proof-of-Concept mit allen relevanten Schritten. Insgesamt zeigt die CVE eindrucksvoll, wie eng sich sichere Plattformlogik und die fehlerfreie Verwendung von Drittsoftware (hier Git) verzahnen – und wie sehr ein einziges Detail wie „bare vs. non-bare“ darüber entscheidet, ob ein Patch rein intern bleibt oder zur Codeausführung wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gitea-RCE via Git-Hook: CVE-2026-60004 trifft Git 2.32+ und Patch-Diffpatch" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gitea-RCE via Git-Hook: CVE-2026-60004 trifft Git 2.32+ und Patch-Diffpatch" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gitea-RCE via Git-Hook: CVE-2026-60004 trifft Git 2.32+ und Patch-Diffpatch« bei Google Deutschland suchen, bei Bing oder Google News!