Gitea: Geheimnisoffenlegung über wiederverwendbare Workflows in pull_request_target

Zusammenfassung

Gitea Actions lädt lokale wiederverwendbare Workflows (uses: ./...) für pull_request_target-Ausführungen aus dem Head-Commit des Forks statt aus dem vertrauenswürdigen Basis-Branch. Ein Fork-Autor, der Pull Requests öffnen kann, kann den aufgerufenen Workflow so verändern, dass vom Angreifer kontrollierter Code mit den Repository- und Organisationsgeheimnissen dieses Ereignisses ausgeführt wird. Voraussetzung ist ein Basis-Workflow, der einen lokalen wiederverwendbaren Workflow aufruft.

Betroffen

• Gitea 1.19.0 bis vor 1.27.2 (gemäss CNA-Eintrag)

Behoben in

• Gitea 1.27.2 (behoben durch PR #38886 und #38897)
• Gitea 1.27.3 enthält die Korrektur ebenfalls

Umgehung

• Keine Workaround-Massnahme vom Hersteller dokumentiert.
• Bis zur Behebung pull_request_target-Workflows meiden, die lokale wiederverwendbare Workflows aufrufen und Zugriff auf Geheimnisse haben.
• Vor der Ausführung von Workflows aus Fork-Pull-Requests eine Genehmigung durch einen Maintainer verlangen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Der Patch ist seit August 2026 öffentlich, daher sind N-Day-Angriffe möglich.

Unsere Empfehlung

• Auf Gitea 1.27.2 oder neuer aktualisieren.
• Prüfen, ob ein pull_request_target-Workflow einen lokalen wiederverwendbaren Workflow aufruft und Geheimnisse verwendet.
• Einschränken, wer Pull Requests aus Forks öffnen kann, und Workflow-Läufe aus Forks prüfen.
• Workflow-Läufe von pull_request_target auf unerwartete Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Gitea 1.27.2 is released blog.gitea.com
• Pull Request #38886: resolve pull_request_target reusable workflows at the base commit github.com
• Pull Request #38897: backport to 1.27 github.com
• Gitea 1.27.2 release github.com
• GHSA-r9ch-mqjm-g67v security advisory github.com
• OSV: CVE-2026-73800 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:48.