Viele Softwareprojekte gefährdet: Hacker schleusen Schadcode auf Gitea-Instanzen
Administratoren sollten ihre Gitea-Instanzen zügig auf den neuesten Stand bringen. Die US-Cybersicherheitsbehörde Cisa hat eine Warnung herausgegeben(öffnet im neuen Fenster), laut der eine kritische Sicherheitslücke in der freien Quellcodeverwaltungssoftware aktiv ausgenutzt wird. Angreifer können damit potenziell bösartige Shell-Befehle auf dem zugrundeliegenden System zur Ausführung bringen.
Die besagte Sicherheitslücke ist als CVE-2026-60004 registriert. Laut dem zugehörigen Github-Advisory(öffnet im neuen Fenster) verfügt die Lücke über einen CVSS-Wert von 9,8 und damit einen kritischen Schweregrad. Der Angriff läuft über einen API-Endpunkt namens "diffpatch", der das Einschleusen eines bösartigen Git-Hooks ermöglicht.
Um CVE-2026-60004 ausnutzen zu können, benötigt ein Angreifer Schreibzugriff auf ein beliebiges Repository. Der ist aber in vielen Fällen leicht zu beschaffen. Wie Sicherheitsforscher von Runzero in einem Blogbeitrag(öffnet im neuen Fenster) schildern, verfügt Gitea standardmäßig über eine offene Registrierung. Angreifer können sich damit ein eigenes Konto anlegen und selbst ein Repository mit Schreibzugriff erstellen.
Befehlsausführung möglich
Ist der Angriff erfolgreich, so lassen sich auf dem Betriebssystem des jeweiligen Gitea-Servers laut Schwachstellenbeschreibung beliebige Shell-Befehle als Gitea-OS-Nutzer ausführen. Abhängig von den Berechtigungen dieses Nutzers soll es daraufhin beispielsweise möglich sein, Zugangs- und Konfigurationsdaten abzugreifen oder Build-Ergebnisse der auf der attackierten Instanz gehosteten Softwareprojekte zu manipulieren.
Als anfällig gelten alle Gitea-Versionen bis einschließlich 1.17 und 1.27.0. Seit dem 27. Juli(öffnet im neuen Fenster) steht mit 1.27.1 eine gepatchte Gitea-Version zur Verfügung. Angesichts der bereits laufenden Angriffe sollten Administratoren diese zügig installieren – oder besser gleich die noch neuere Version 1.27.2(öffnet im neuen Fenster) vom 14. August, die mehrere weitere Sicherheitslücken schließt.
Die Cisa hat CVE-2026-60004 am 25. August in ihren KEV-Katalog(öffnet im neuen Fenster) (Known Exploited Vulnerabilities) aufgenommen. In welchem Ausmaß die Angriffe stattfinden, ist jedoch bisher nicht bekannt.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.