Gitea

Betroffen ist die selbst gehostete Git-Plattform Gitea, konkret die Schnittstelle zum Anwenden von Patches (diffpatch-API). Ein Angreifer, der Schreibrechte auf ein Repository besitzt, kann dorthin einen präparierten Patch senden. Dadurch lässt sich eine ausführbare Datei an der Stelle ablegen, an der Gitea seine Git-Hooks erwartet – also Skripte, die bei bestimmten Repository-Ereignissen automatisch gestartet werden. Wird ein solcher Hook ausgelöst, führt der Server die eingeschleusten Shell-Befehle im Kontext des Gitea-Dienstkontos aus. Damit wird aus einer eigentlich harmlosen Schreibberechtigung auf ein Projekt eine Codeausführung auf dem Server selbst. Angreifer können auf diesem Weg auf Daten anderer Repositories zugreifen, den Dienst manipulieren oder sich dauerhaft im System einnisten. Da Schreibzugriff auf einzelne Repositories in vielen Teams breit vergeben wird, ist die Hürde für einen Angriff vergleichsweise niedrig.