„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-22555 in Gitea vor Version 1.26.0 ermöglicht es API-Benutzern, Repositories in Organisationen zu forken, ohne die erforderliche CanCreateOrgRepo-Berechtigung zu prüfen. Dies führt zu einer unbefugten Offenlegung von Organisationsgeheimnissen und stellt ein erhebliches Sicherheitsrisiko dar.
Betroffene Systeme
Die Vulnerability betrifft folgende Komponenten:
- Gitea-Versionen vor 1.26.0
- Installationen mit aktiviertem Repository-Forking
- Organisationen mit konfigurierten Secrets und API-Zugriff
- Multi-Tenant-Umgebungen mit unterschiedlichen Berechtigungsstufen
Technische Details
Die Schwachstelle liegt in der API-Logik des Fork-Mechanismus. Beim Erstellen eines Forks über die REST-API werden Zugriffsprüfungen umgangen. Die fehlende CanCreateOrgRepo-Validierung ermöglicht es Angreifern mit niedrigen Privilegien, Repositories direkt in Organisationen zu forken, ohne deren Richtlinien zu beachten.
Kritisch: Während des Fork-Prozesses werden Organisationsgeheimnisse und Umgebungsvariablen in den kopierten Repository-Kontext übernommen. Ein Angreifer kann diese Secrets durch API-Aufrufe oder direkte Repository-Inspizierung auslesen. Dies betrifft insbesondere CI/CD-Credentials, API-Token und Datenbank-Passwörter.
Angriffsvektor: Ein authentifizierter Benutzer (auch mit minimalen Rechten) kann die Git API direkt aufrufen und einen unerlaubten Fork durchführen.
Empfohlene Massnahmen
- Sofortige Migration auf Gitea 1.26.0 oder höher durchführen
- Repository-Forking auf Organisationsebene deaktivieren, bis Patch verfügbar ist
- API-Zugriff für unterprivilegierte Benutzer einschränken
- Organisationsgeheimnisse rotieren und neu generieren
- Audit-Logs auf verdächtige Fork-Aktivitäten prüfen
- Netzwerkzugriff zur Gitea-API limitieren
Bewertung
CVSS-Score: 8.1 (High)
Diese Vulnerability erfordert sofortige Aufmerksamkeit. Die Kombination aus fehlender Zugriffskontrolle und Secrets-Exposure stellt ein kritisches Risiko dar. Da kein Patch verfügbar ist, müssen Administratoren sofort Mitigationsmaßnahmen implementieren und den Gitea-Entwickler-Status für Updates überwachen.
„`