CVE-2026-60004

Nome do Software Vulnerável e Versões Afetadas Gitea versões 1.17.0 through 1.27.0

Description Um problema crítico de injeção de código existe no endpoint da API diffpatch. Um invasor com acesso de escrita a um repositório pode explorar isso enviando um patch especialmente criado duas vezes, desencadeando uma colisão de adição/adição. Quando o Gitea utiliza git apply -3 (disponível no Git 2.32 e versões posteriores) dentro de um clone temporário bare, ele realiza uma mesclagem de três vias que permite ao invasor gravar um arquivo executável no diretório hooks/post-index-change. Este arquivo é então executado como a conta de serviço do Gitea, resultando em execução remota de código (RCE).

Se o registro aberto de usuários estiver habilitado, invasores não autenticados podem registrar uma conta e criar um repositório para obter o acesso de escrita necessário. Esta falha foi ativamente explorada em uma campanha multinacional por um ator de ameaça conhecido como Red Heron, que teve como alvo organizações no Canadá, Argentina, Taiwan, Estados Unidos, Sri Lanka e Catar. A campanha envolveu a varredura de mais de 1.800 instâncias e a implantação do implante Linux JITTERLY e do rootkit SIXZUT LD PRELOAD para manter a persistência e roubar códigos-fonte e credenciais.

Recommendations Atualize o Gitea para a versão 1.27.1 ou superior. Desative o registro aberto de usuários para evitar a criação de contas não autorizadas. Restrinja a exposição do Gitea à internet pública utilizando uma VPN ou proxy. Como mitigação temporária, restrinja o acesso ao endpoint da API diffpatch.