Gitea 1.27.1: RCE через /diffpatch — что меняет и что делать

Прочитал у Gitea, что вышла 1.27.1 с исправлением критической уязвимости в API /diffpatch — она позволяла выполнить произвольный код через Git hook, если в настройках разрешена регистрация. Уязвимость затрагивает версии до 1.27.0, включая 1.24.7, и требует только доступа по HTTPS. Потенциально позволяет получить полный контроль над сервером через цепочку: регистрация → создание репозитория → POST /diffpatch → выполнение кода. В одном из случаев атакующий за 11 секунд запустил криптомайнер, используя стандартные инструменты вроде curl и wget. Уязвимость была устранена в 1.27.1, а в списке испра

На мой взгляд, самое важное здесь — не сам майнер, а то, как легко он запустился. Уязвимость не требует сложной настройки: достаточно открытой регистрации, доступа по HTTPS и старой версии. Это не «взлом админки» — это обход проверки через API, который работает по умолчанию. И если у вас Gitea в самостойном хостинге с включённой регистрацией — риск реальный, даже если вы не думаете, что вас кто-то будет атаковать.

Считаю, что многие недооценивают уязвимости в инструментах, которые сами по себе не «важны». Gitea — это не сайт, а внутренний инструмент, и потому его часто не обновляют. Но как показал случай, сканер находит такие системы, как и любые другие. Даже если вы думаете, что «нас никто не тронет» — боты сканируют всё, что доступно по HTTP.

Уже начал проверять у клиентов, кто использует Gitea. Если версия ниже 1.27.1 — ставлю в план на неделю. Если регистрация включена и нет капчи — сначала ограничиваю, потом обновляю. У себя сделал так: отключил регистрацию, включил проверку по почте, обновил Gitea в тестовой среде. Пока не тороплюсь с массовым обновлением — но уже вижу, что это не просто «ещё одна патч-версия», а реальный вектор для заражения.