Gitea: Abweichung zwischen Prüfung und Ausführung durch doppelte Git-Tree-Einträge

Zusammenfassung

Gitea akzeptierte gepushte Git-Commits, deren Trees zwei Einträge mit demselben Dateinamen enthalten, was git fsck ablehnt. Die Web-Ansichten von Gitea zeigen den ersten Eintrag an, während git checkout, Gitea Actions und Release-Archive den letzten verwenden. Ein Mitwirkender kann so erreichen, dass ein Pull Request mit unbedenklichem Code genehmigt wird, während die CI aus demselben Commit-SHA abweichenden, vom Angreifer kontrollierten Code ausführt, wodurch CI-Secrets offengelegt werden können.

Betroffen

• Gitea bis einschliesslich 1.27.3
• Das Advisory hat das Problem auf 1.27.2 reproduziert; die gemeinsame Forgejo-Codebasis ist wahrscheinlich ebenfalls betroffen

Behoben in

• Gitea 28.0.0 (das Release, das zuvor als 1.28.0 nummeriert war), das fsck-ungültige Objekte beim Push ablehnt (PR #39472)
• Spätere Releases (28.1.0, 28.2.0) enthalten diese Korrektur
• Ein Upgrade bereinigt bereits gespeicherte fehlerhafte Trees in bestehenden Repositories nicht

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Das Advisory schlägt als vorübergehende Massnahme eine sichtbare Warnung bei Trees mit doppelten Einträgen vor.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt; das Advisory beschreibt den Mechanismus im Detail

Unsere Empfehlung

• Gitea auf 28.0.0 oder neuer aktualisieren
• git fsck auf Repositories mit externen Beiträgen ausführen, insbesondere auf Commits, die vor dem Upgrade gepusht wurden, da die Korrektur bestehende Objekte nicht neu prüft
• Bis zur Aktualisierung CI-Läufe für nicht vertrauenswürdige Pull Requests einschränken und CI-Secrets diesen nicht zugänglich machen
• Prüfen, wer Pull Requests eröffnen und genehmigen kann; öffentliche oder aus dem Internet erreichbare Instanzen mit CI-Secrets priorisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Gitea security advisory GHSA-6pv5-8rp7-8c75 github.com
• Fix pull request #39472: reject fsck-invalid objects on push github.com
• Gitea 28.0.0 release github.com
• Gitea vendor blog: release of 28.0.0 blog.gitea.com
• OSV entry CVE-2026-95106 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:22.