Critical Gitea RCE Actively Exploited as Reported Attack Drops Miner-Like Payload

Exploitation active de la faille RCE critique dans Gitea

Points clés

• Une vulnérabilité critique de type exécution de code à distance (RCE) dans Gitea est activement exploitée pour déployer des logiciels malveillants, notamment des mineurs de cryptomonnaies (cryptojacking).
• La faille permet à tout utilisateur disposant d’un accès en écriture sur un dépôt d’exécuter des commandes shell arbitraires avec les privilèges du compte utilisateur Gitea.
• L’exploitation est facilitée par les configurations par défaut qui autorisent l’auto-inscription des utilisateurs, permettant à un attaquant non authentifié de créer un compte et un dépôt instantanément.
• La CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités exploitées connues (KEV).

Vulnérabilité

• CVE-2026-60004 : Score CVSS de 9.8. Affecte toutes les versions de Gitea à partir de la 1.17.

Recommandations

• Mise à jour immédiate : Appliquer le correctif en passant à la version 1.27.1 ou ultérieure.
• Durcissement de la configuration :
  • Désactiver l’inscription libre (DISABLE_REGISTRATION = true).
  • Exiger une confirmation par e-mail pour les nouvelles inscriptions (REGISTER_EMAIL_CONFIRM = true).
  • Restreindre l’accès en activant REQUIRE_SIGNIN_VIEW = true si l’instance n’est pas destinée à être publique.
• Surveillance : Inspecter les instances Gitea à la recherche d’une consommation CPU anormale, qui pourrait indiquer la présence d’un script de minage dissimulé.

Source