Gitea: Authentifizierungsumgehung im Web-Installer für bestehende Konten

Zusammenfassung

Der Web-Installer von Gitea akzeptiert bei Erreichbarkeit einer Datenbank, die bereits Benutzer enthält (zum Beispiel nach einem Zurücksetzen von INSTALL_LOCK auf false), einen Administrator-Benutzernamen, der einem bestehenden Konto entspricht, ohne das Passwort zu prüfen. Ein nicht authentifizierter Angreifer, der einen gültigen Benutzernamen kennt oder errät, kann so eine authentifizierte Sitzung für dieses Konto erhalten. Handelt es sich um ein Administratorkonto, erhält der Angreifer vollständigen Administratorzugriff, einschliesslich der Möglichkeit, ein neues Passwort zu setzen. Instanzen mit genau einem bestehenden Benutzer überspringen zudem die Bestätigung der Neuinstallation.

Betroffen

• Gitea bis einschliesslich 1.27.3 (laut CVE-Eintrag und einem Drittanbieter-Aggregator; der genaue Bereich ist in den geprüften Quellen vom Hersteller nicht bestätigt)
• Versionen vor 28.0.0 sind bis zur Prüfung der Versionstabelle des Herstellers als potenziell betroffen zu betrachten

Behoben in

• Gitea 28.0.0 (Korrektur in PR #39400)
• Backports auf 1.27.x: Unbekannt.

Umgehung

• INSTALL_LOCK auf true belassen und die Seite /install nicht aus dem Internet erreichbar machen. Dadurch entfällt die Voraussetzung; dies ist eine Empfehlung und keine Aussage des Herstellers.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• CISA SSVC im CVE-Eintrag: Exploitation none, Automatable no.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Auf Gitea 28.0.0 oder neuer aktualisieren.
• Bis zur Aktualisierung sicherstellen, dass INSTALL_LOCK auf true steht und der Installer nicht aus dem Internet erreichbar ist.
• Prüfen, ob Instanzen mit INSTALL_LOCK=false wiederhergestellt, migriert oder neu aufgebaut wurden.
• Administratorkonten und Sitzungen auf unerwartete Aktivitäten prüfen und im Zweifel Passwörter ändern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Gitea 28.0.0 release notes blog.gitea.com
• GitHub Security Advisory GHSA-9h7g-h754-c8x2 github.com
• Gitea v28.0.0 release tag github.com
• Gitea PR #39400 github.com
• OSV BIT-gitea-2026-96404 osv.dev
• OpenCVE CVE-2026-96404 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:42.