Gitingest: Beliebiges Lesen von Dateien über Symlink bei Blob-Ingestion
Zusammenfassung
Gitingest bis einschliesslich Version 0.3.1 folgt bei der Blob-Ingestion einzelner Dateien Symlinks. Ein nicht authentifizierter Angreifer aus dem Netz kann einen Symlink in ein öffentliches Repository committen und dessen Blob-URL übermitteln, wodurch der Dienst beliebige Dateien ausliefert, die der Dienstbenutzer lesen kann, bis zu 10 MB. Der CVSS-4.0-Wert beträgt 8.7 (hoch), hauptsächlich aufgrund der Auswirkung auf die Vertraulichkeit.
Betroffen
- Gitingest bis und mit Version 0.3.1
- Betroffene Komponente: ingest_query, Blob-Ingestion einzelner Dateien
Behoben in
Unbekannt.
Umgehung
- Gitingest nicht dem Internet oder nicht vertrauenswürdigen Benutzern aussetzen; hinter VPN, SSO oder einem authentifizierenden Reverse Proxy betreiben
- Den Dienst als dedizierten Benutzer mit minimalen Rechten ausführen, ohne Zugriff auf Secrets, .env-Dateien, SSH-Schlüssel oder andere Repositories
- Secrets nicht in Verzeichnissen ablegen, die der Dienst lesen kann
- Blob-Ingestion einzelner Dateien einschränken oder deaktivieren, sofern die Umgebung dies erlaubt
Ausnutzung
- CISA SSVC: Ausnutzung Status PoC, automatisierbar: ja, technische Auswirkung: teilweise
- Eine Drittanbieter-Beschreibung existiert; deren Inhalt wurde nicht geprüft
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog
- EPSS etwa 0.4%
Unsere Empfehlung
- Alle Gitingest-Installationen erfassen, einschliesslich pip-Pakete und Container
- Prüfen, ob eine Instanz aus dem Internet erreichbar ist, und die öffentliche Exponierung sofort entfernen
- Zugriff auf authentifizierte interne Benutzer beschränken
- Sicherstellen, dass das Dienstkonto keine Secrets oder sensiblen Dateien lesen kann
- Das Upstream-Repository und die VulnCheck-Meldung auf eine korrigierte Version überwachen und diese nach Verfügbarkeit umgehend einspielen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Gitingest GitHub repository github.com
- Vulnerable source line (ingestion.py) github.com
- Third-party write-up (HackMD) hackmd.io
- VulDB entry vuldb.com
- Vulners CVE record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:44.
Referenzen der NVD (4)
- https://github.com/coderamp-labs/gitingest
- https://github.com/coderamp-labs/gitingest/blob/4e259a02fe72115bee538271622f1234a81c8e1a/src/gitingest/ingest…
- https://hackmd.io/@hieuPenguinnn/gitingest-blob-symlink-arbitrary-file-read
- https://www.vulncheck.com/advisories/gitingest-through-0.3.1-arbitrary-file-read-via-symlink-in-blob-ingestion
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.