8.393 Gitea-Server offen: Eine Standardeinstellung verschärft das RCE-Risiko

Am 27. August 2026 erfasste Shadowserver 8.393 öffentlich erreichbare IP-Adressen als anfällig für die Gitea-Lücke CVE-2026-60004. Der Bericht über die Internetmessung bestätigt zugleich den entscheidenden Risikofaktor: Weil Gitea die Selbstregistrierung standardmäßig erlaubt, kann ein Besucher ein Konto und ein eigenes Repository anlegen und so den für den Angriff benötigten Schreibzugriff erhalten.

Das französische CERT Santé veröffentlichte ebenfalls am 27. August eine Warnung und führt die Schwachstelle als aktiv ausgenutzt. Die CERT-Sicherheitsmeldung nennt die Gitea-Versionen 1.17 bis einschließlich 1.27.0 als betroffen und Version 1.27.1 oder neuer als Lösung. Zuerst reagieren müssen daher öffentlich erreichbare, ungepatchte Instanzen, auf denen sich Fremde registrieren und Repositories mit eigenen Schreibrechten erstellen können.

Wie ein registrierter Angriff praktisch ohne vorhandenes Konto beginnt

Die technische Voraussetzung lautet Repository-Schreibzugriff. Das bedeutet jedoch nicht zwangsläufig, dass Angreifer bereits ein Entwicklerkonto kompromittiert oder Zugangsdaten gestohlen haben müssen. Bei offener Selbstregistrierung können sie den benötigten Benutzer selbst anlegen; dürfen neue Benutzer anschließend eigene Repositories erstellen, verfügen sie dort über den erforderlichen kontrollierten Schreibbereich.

Die offizielle Gitea-Sicherheitsmeldung beschreibt den Exploitweg: Der REST-API-Endpunkt diffpatch verarbeitet einen vom Benutzer kontrollierten Patch in einem temporären Bare-Repository. Wird derselbe präparierte Patch zweimal eingereicht, löst die entstehende add/add-Kollision Gits Drei-Wege-Fallback aus. Dadurch kann eine ausführbare Datei unter hooks/post-index-change im Git-Verzeichnis landen und beim Schreiben des Index ausgeführt werden.

Die Befehle laufen mit den Rechten des Betriebssystemkontos, unter dem der Gitea-Dienst arbeitet. Der Angriff verschafft also nicht automatisch root-Rechte; seine Folgen hängen von der Isolation und den Berechtigungen dieses Kontos ab. Erreichbar sein können unter anderem Anwendungsschlüssel, Prozessgeheimnisse, eingebundene Repositories, Datenbankzugänge und interne Dienste.

Für die dokumentierte Angriffskette müssen außerdem Git 2.32 oder neuer, die aktivierte diffpatch-Route sowie ein beschreibbares und ausführbares temporäres Dateisystem zusammenkommen. Offene Registrierung ist dagegen nur für den Weg ohne vorher vorhandene Zugangsdaten nötig. Auch eine Instanz mit geschlossener Registrierung bleibt verwundbar, wenn ein bestehender oder kompromittierter Benutzer Repository-Schreibrechte besitzt.

Drei Betriebsszenarien bestimmen die Reihenfolge

Öffentlich erreichbar, offene Registrierung, eigene Repositories erlaubt: Diese Konfiguration hat das höchste unmittelbare Risiko. Ein externer Angreifer kann die formale Authentifizierungsvoraussetzung selbst erfüllen, ohne zuvor ein Konto übernehmen oder eine Einladung erhalten zu müssen. Solche Instanzen gehören an die Spitze der Update-Priorität.

Öffentlich erreichbar, Registrierung geschlossen: Der einfache Weg über ein neu angelegtes Konto entfällt. Die Angriffsfläche umfasst aber weiterhin vorhandene Benutzer mit Schreibrechten, externe Mitwirkende, Dienstkonten und gestohlene Zugangsdaten. Eine geschlossene Registrierungsseite ist deshalb kein Ersatz für die Korrektur der verwundbaren Version.

Nur intern oder über VPN erreichbar: Die eingeschränkte Erreichbarkeit reduziert den Kreis möglicher Angreifer, entfernt den Fehler jedoch nicht. Ein kompromittiertes internes Konto oder ein Akteur im zugelassenen Netz kann die Schreibvoraussetzung weiterhin erfüllen. Besonders schwer wiegen die Folgen, wenn das Gitea-Dienstkonto auf zahlreiche Repositories, Konfigurationsdateien oder weitere interne Systeme zugreifen darf.

Vier Merkmale ergeben ein belastbares Lagebild

Die Versionsprüfung beantwortet, ob die Instanz grundsätzlich in den betroffenen Bereich fällt. Danach müssen Betreiber feststellen, ob die öffentliche Selbstregistrierung aktiv ist, ob neue Benutzer eigene Repositories anlegen dürfen und welche vorhandenen Konten Schreibzugriff besitzen. Erst diese Kombination zeigt, wie leicht der dokumentierte Angriffsweg praktisch erreichbar ist.

• Version: Liegt die Installation im betroffenen Bereich oder bereits auf einer korrigierten Ausgabe?
• Selbstregistrierung: Kann ein nicht eingeladener Besucher ein normales Konto anlegen?
• Repository-Rechte: Darf dieses Konto ein Repository erstellen oder auf ein bestehendes Repository schreiben?
• Dienstkonto: Auf welche Geheimnisse, Repositories, Datenbanken und internen Ziele kann der Gitea-Prozess zugreifen?

Ein fehlendes Glied kann einen bestimmten Exploitweg blockieren, beseitigt die Schwachstelle in der installierten Software aber nicht. Konfigurationen können sich ändern, und vorhandene Schreibkonten eröffnen einen anderen Zugang. Die Prüfung dient daher vor allem der Priorisierung und der Abschätzung möglicher Folgen.

Das Update schließt die Lücke, Konfiguration begrenzt nur den Zugang

Die dauerhafte Abhilfe ist das Upgrade auf Gitea 1.27.1 oder eine neuere unterstützte Version. Bis zum Update lässt sich der unmittelbare Zugang erschweren, indem Betreiber die öffentliche Registrierung deaktivieren, die Repository-Erstellung einschränken und Schreibrechte auf notwendige Konten begrenzen. Diese Maßnahmen blockieren mögliche Einstiegspfade, während die verwundbare Codebasis bestehen bleibt.

Zur nachträglichen Untersuchung gehören unerwartete Benutzer- und Repository-Erstellungen sowie nicht autorisierte Git-Hooks. Ebenso wichtig ist eine Bestandsaufnahme der Dateien, Schlüssel, Datenbanken und internen Dienste, die das Gitea-Systemkonto erreichen konnte. Ein erfolgreiches Update beantwortet nicht, ob die Instanz zuvor ausgenutzt wurde.

Gesichert sind damit die öffentlich gemessenen 8.393 anfälligen IP-Adressen, der technisch dokumentierte diffpatch-Angriffsweg, die Bedeutung offener Registrierung und die korrigierte Ausgabe. Die Shadowserver-Zahl bleibt eine Momentaufnahme öffentlich erkennbarer Adressen, keine vollständige Zählung aller Gitea-Installationen. Die höchste Priorität haben ungepatchte öffentliche Systeme, auf denen Fremde ohne Einladung den benötigten Schreibzugriff erlangen können.