Тысячи команд, которые самостоятельно размещают Gitea для контроля над своим кодом, обнаруживают, что их система управления версиями уязвима к удалённому выполнению кода. Настоящая проблема: никто не обновляет «периферийные» инструменты.

8 300 кузнецов Gitea уязвимы к RCE: исходный код вашего проекта в списке?

Что происходит

Gitea — лёгкая open-source-кузница Git, альтернатива GitHub для тех, кто хочет хранить свой код под контролем — уязвима к удалённому выполнению кода. Детали, от которых мороз по коже: сканируя Интернет, исследователи выявили более 8 300 уязвимых инстансов Gitea, всё ещё доступных и не исправленных.

Скомпрометированная кузница Git — это кошмарный сценарий для цепочки поставок: злоумышленник получает доступ ко всему исходному коду, развёрнутым ключам, секретам, хранящимся в репозиториях, вебхукам, подключённым к пайплайнам CI/CD. Входные ворота во всю инфраструктуру разработки.

Синдром забытой кузницы

Gitea популярен именно за простоту установки и лёгкость запуска. Прямое следствие: многие инстансы устанавливаются за несколько минут, а затем забываются — доступны из Интернета, не обновляются, без мониторинга безопасности.

Типичный профиль уязвимой инстанции: установлена несколько месяцев назад для проекта, команда продолжала работать с ней, но никто не интегрировал обновления безопасности Gitea в цикл обслуживания — потому что «это же просто инструмент для версионирования».

Конкретные риски для скомпрометированной кузницы:

• Полная кража исходного кода (включая приватные репозитории)
• Внедрение бэкдоров в код или пайплайны CI/CD
• Кража секретов, хранящихся в файлах конфигурации или переменных окружения
• Доступ к SSH-ключам развёртывающих пользователей, зарегистрированным в интерфейсе

Что делать сейчас

Срочные действия

1. Проверьте версию Gitea: интерфейс админа → О программе, или gitea -version. Исправленная версия указана в release notes Gitea на GitHub.
2. Обновите без промедления — скачайте последнюю стабильную версию, замените бинарник, перезапустите сервис.
3. Оцените степень exposure: ваша инстанция доступна из Интернета? Если да и это не критично, спрячьте её за VPN или правило файрвола по IP.
4. Просканируйте exposed секреты: truffleHog или gitleaks для обнаружения credentials в истории ваших репозиториев.
5. Проверьте вебхуки и интеграции CI: злоумышленник, получивший доступ, мог добавить скрытые вебхуки — проведите полную инвентаризацию.
6. Настройте мониторинг безопасности: подпишитесь на релизы Gitea на GitHub (Watch → Releases only), чтобы больше не пропускать критические патчи.