Cảnh báo lỗ hổng nghiêm trọng trên Gitea: Kẻ tấn công có thể đọc file hệ thống mà không cần xác thực

Một lỗ hổng bảo mật nghiêm trọng (CVE-2026-59774) trên nền tảng Gitea cho phép kẻ tấn công không cần xác thực có thể đọc các file nhạy cảm trên máy chủ thông qua tính năng Org-mode...

Nguyen Hung

5 Tháng 8, 2026 2 Min Read

1 0

Nền tảng quản lý mã nguồn tự lưu trữ (self-hosted) Gitea vừa ghi nhận một lỗ hổng bảo mật nghiêm trọng, cho phép kẻ tấn công không cần xác thực có thể truy cập và đọc bất kỳ file nào mà tài khoản dịch vụ (service account) có quyền truy cập. Lỗ hổng này ảnh hưởng đến các phiên bản từ 1.22.1 đến 1.27.0.

Chi tiết về lỗ hổng CVE-2026-59774

Lỗ hổng được định danh là CVE-2026-59774 với điểm CVSS lên tới 9.8 (mức nghiêm trọng). Kẻ tấn công không cần phải đăng nhập hay có quyền ghi vào repository. Chỉ cần một repository công khai và việc gửi các đoạn mã Org-mode markup được thiết kế đặc biệt là đủ để khai thác.

Vấn đề nằm ở endpoint POST /{owner}/{repo}/markup của Gitea. Khi xử lý nội dung Org-mode, thư viện go-org mặc định sử dụng ioutil.ReadFile để xử lý chỉ thị #+INCLUDE. Do không có cơ chế kiểm soát đường dẫn chặt chẽ, kẻ tấn công có thể sử dụng các đường dẫn tuyệt đối để đọc file từ hệ thống máy chủ.

Nguy cơ leo thang tấn công

Mặc dù đây không phải là lỗ hổng thực thi mã từ xa (RCE) trực tiếp, nhưng các chuyên gia cảnh báo rằng nó có thể dẫn đến RCE nếu kẻ tấn công đọc được file app.ini. Từ đó, chúng có thể trích xuất INTERNAL_TOKEN, tiêm Git hook thông qua logger nội bộ và kích hoạt hook này trong quá trình clone ẩn danh.

Khuyến nghị cho quản trị viên

Gitea đã phát hành phiên bản 1.27.1 để khắc phục triệt để lỗ hổng này. Các quản trị viên đang vận hành Gitea tự lưu trữ cần thực hiện các bước sau ngay lập tức:

Cập nhật lên phiên bản 1.27.1 càng sớm càng tốt.
Đối với các instance sử dụng Gitea Cloud, hệ thống sẽ được tự động cập nhật trong cửa sổ bảo trì.
Kiểm tra log truy cập tại endpoint /{owner}/{repo}/markup để phát hiện các dấu hiệu bất thường.
Nếu nghi ngờ đã bị khai thác, cần thực hiện xoay vòng (rotate) các thông tin nhạy cảm như: INTERNAL_TOKEN, các chứng chỉ OAuth, JWT signing material và thông tin đăng nhập cơ sở dữ liệu.

Lỗ hổng này được phát hiện bởi XBOW bởi hệ thống an ninh tự động XBOW Security và được báo cáo độc lập bởi nhà nghiên cứu Shai Rod (NightRang3r). Hiện tại, chưa có ghi nhận về việc lỗ hổng này bị khai thác rộng rãi trong thực tế (in-the-wild).

Nguồn tham khảo: The Hacker News