Gitea: Server-side Request Forgery und erzwungene Schreibvorgänge über Push-Mirrors
Zusammenfassung
Gitea prüft die Remote-Adresse eines Push-Mirrors gegen die Allow- und Block-Listen unter [migrations] nur bei dessen Erstellung. Jede spätere Synchronisation sendet an die gespeicherte Adresse, ohne diese Prüfung erneut durchzuführen. Ein Name, der später auf eine blockierte oder interne Adresse auflöst, wird deshalb trotzdem kontaktiert. Ein authentifizierter Benutzer mit Administratorrechten auf einem Repository, was für jeden Benutzer bei selbst erstellten Repositories gilt, kann so den Inhalt eines Repositories per Force-Push an interne Git-Dienste senden und dort Refs löschen.
Betroffen
- Gitea 0 bis 1.27.3 (gemäss GHSA-hcgw-r9gf-8mph; der CNA-Eintrag nennt denselben Bereich)
Behoben in
- Gitea 28.0.0 oder neuer
Umgehung
- [mirror] ENABLED=false setzen, bis das Update eingespielt ist. Dies stoppt alle Mirror-Aktualisierungen, nicht nur den bösartigen.
- Betroffene Push-Mirrors löschen, bis das Update eingespielt ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no.
- In den geprüften Quellen wurde kein öffentlicher Exploit-Code gefunden. Nicht in der CISA-KEV-Liste.
Unsere Empfehlung
- Gitea auf 28.0.0 oder neuer aktualisieren.
- Prüfen, ob die offene Selbstregistrierung aktiviert ist. Falls ja, diese bis zum Update einschränken.
- Alle bestehenden Push-Mirrors und deren Zieladressen prüfen und unbekannte oder interne Ziele entfernen.
- Löschungen von Repository-Refs und unerwartete Fehler bei der Mirror-Synchronisation überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-hcgw-r9gf-8mph github.com
- Gitea 28.0.0 release blog blog.gitea.com
- Gitea 28.0.0 release notes github.com
- Gitea pull request #39010 github.com
- Gitea pull request #39426 github.com
- OSV entry CVE-2026-89430 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.