Gitea: API-Token-Umgehung über SSH-Schlüssel mit HTTP Signature

Zusammenfassung

Ein Benutzer mit einem Token, das nur den Scope write:user besitzt, kann einen von Angreifern kontrollierten öffentlichen SSH-Schlüssel auf dem eigenen Konto registrieren. Anfragen, die mit dem passenden privaten Schlüssel über HTTP Signature signiert sind, werden ohne Token-Scope authentifiziert, wodurch die Prüfung der Scopes auf Routenebene übersprungen wird. Der Angreifer behält die normalen Rollen- und Repository-Berechtigungen des Kontos, sodass das eingeschränkte Token faktisch zu einem unbeschränkten API-Zugang wird. Voraussetzung für die Ausnutzung ist ein gültiges Konto mit einem solchen Token.

Betroffen

• Gitea 1.26.4 und früher, gemäss CVE-Eintrag (Bereich vom Hersteller nicht bestätigt)
• Gitea 1.27.0 und 1.27.1 (gemäss Hersteller-Fixversion 1.27.2)

Behoben in

• Gitea 1.27.2 (Korrekturen über PRs #38862 und #38895)
• Gitea Cloud: 1.27.3
• Gitea Enterprise 27.3.0 (enthält 1.27.2)

Umgehung

Unbekannt.

Ausnutzung

• Öffentlicher Exploit: keiner bekannt
• CISA SSVC: Ausnutzungsstatus "poc", nicht automatisierbar
• In den geprüften Quellen nicht im CISA KEV aufgeführt

Unsere Empfehlung

• Gitea auf 1.27.2 oder neuer aktualisieren, bzw. auf die Fixversionen von Gitea Cloud/Enterprise
• SSH-Schlüssel aller Konten prüfen und unbekannte Einträge entfernen
• Die Erstellung von Tokens mit Scope write:user einschränken
• Prüfen, ob die Gitea-Instanz aus dem Internet erreichbar ist
• Logs auf neue SSH-Schlüssel und ungewöhnliche API-Aktivitäten überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Gitea 1.27.2 is released blog.gitea.com
• Gitea release v1.27.2 github.com
• GitHub Security Advisory GHSA-q55v-4cmj-xh65 github.com
• Pull Request #38862 github.com
• Pull Request #38895 github.com
• OSV record CVE-2026-73804 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:06.