GiteaのRCE脆弱性「CVE-2026-60004」が悪用中、米CISAが8月28日をパッチ期限に設定
米CISAは8月25日、CVE-2026-60004を「悪用が確認済みの脆弱性カタログ」に追加し、連邦民間行政機関に対して8月28日までにパッチを適用するよう命じた。この脆弱性により、リポジトリへの書き込みアクセス権を持つユーザーであれば誰でも、Giteaのdiffpatchエンドポイントを悪用してGitフックをインストールおよび実行し、Giteaサービスアカウントとしてシェルコマンドを実行できる。オープン登録が有効な場合、アカウント登録するだけで書き込みアクセス権を取得できる。報告されたある侵害事例では、自動スキャナーがアカウントを登録して暗号資産マイナーを仕込んでおり、その活動フェーズは約11秒しかかからなかった。1.27.1未満のセルフホスト型Giteaはすべて、匿名の訪問者によってリモートからコードを実行される危険性がある。現在の修正済みリリースは1.27.2であり、オープン登録を無効化することで認証なしの攻撃経路を遮断できる。
出典： helpnetsecurity.com ↗
リポジトリへの通常の書き込みアクセス権を持つ攻撃者は、GiteaのOSユーザーとして任意のシェルコマンドを実行できる。
Giteaメンテナー
なぜ重要か
- → GiteaへのRCE（リモートコード実行）攻撃が活発化している。CISAは連邦機関に対し、緊急パッチ適用を義務付けた。
- → 未認証の攻撃経路が確認された。オープンな登録とメール認証の不備により、即座に書き込みアクセスが可能になる。
- → わずか11秒でシステムが侵害される可能性がある。クリプトマイナーが展開され、GiteaのOSユーザーが特権を持つ場合、機密情報や認証情報が漏洩する恐れがある。
Gitプラットフォーム、包囲される