Gitea: Umgehung des zweiten Faktors durch Verknüpfung von OpenID-Identitäten

Zusammenfassung

Der OpenID-Connect-Handler von Gitea akzeptiert das Passwort eines Benutzers, ohne TOTP- oder WebAuthn-Verifizierung zu erzwingen, bevor die Anmeldung abgeschlossen und eine OpenID-Identität verknüpft wird. Ein Angreifer, der das Passwort des Opfers kennt, kann eine Sitzung erhalten, eine von ihm kontrollierte OpenID-Identität verknüpfen und sich später ohne Passwort oder zweiten Faktor über diese anmelden. Die Verknüpfung bleibt auch nach einer Passwortänderung bestehen. Das Problem betrifft nur Instanzen, auf denen die OpenID-Anmeldung aktiviert ist.

Betroffen

• Gitea 0 bis 1.27.1 (gemäss CVE-Eintrag und Drittanbieter-Trackern; die Release Notes des Herstellers nennen den Bereich nicht)
• Gitea Cloud und Gitea Enterprise: vor der Korrektur in v1.27.3 (Gitea Cloud) bzw. 27.3.0 (Gitea Enterprise) betroffen

Behoben in

• Gitea 1.27.2 (PRs #38805 und #38810)
• Gitea Cloud v1.27.3
• Gitea Enterprise 27.3.0
• Selbst kompilierte Versionen oder Distributionspakete: Unbekannt jenseits von 1.27.2.

Umgehung

• Unbekannt. Der Hersteller empfiehlt ein Update.
• Falls ein Update nicht sofort möglich ist, entfernt das Deaktivieren der OpenID-Anmeldung den betroffenen Codepfad (eigene Einschätzung, nicht aus einer Herstellerquelle).

Ausnutzung

• Für CVE-2026-73535 wurde in den geprüften Quellen kein Nachweis einer Ausnutzung in der Praxis gefunden.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Auf Gitea 1.27.2 oder neuer (bzw. die herstellerspezifische korrigierte Version) aktualisieren.
• Prüfen, ob die OpenID-Anmeldung aktiviert ist; falls nicht, ist das Risiko geringer.
• Die verknüpften OpenID-Identitäten aller Konten prüfen und unbekannte Einträge entfernen, da eine Passwortänderung sie nicht entfernt.
• Vor dem Patchen prüfen, ob die Instanz aus dem Internet erreichbar war, und Anmeldungen auf ungewöhnliche Aktivitäten kontrollieren.
• Ältere Instanzen auf CVE-2026-60004 (Remote Code Execution über Git-Hooks, behoben in 1.27.1) prüfen, die bekanntermassen ausgenutzt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Gitea 1.27.2 is released blog.gitea.com
• GHSA-8xjr-x7rg-hp5h security advisory github.com
• Gitea v1.27.2 release github.com
• Pull request #38805 github.com
• Pull request #38810 github.com
• OSV record CVE-2026-73535 osv.dev
• Gitea Cloud release 1.27.3 about.gitea.com
• Gitea Enterprise release 27.3.0 about.gitea.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:51.