CERT Polska w komunikacie z 26 sierpnia ostrzega o aktywnie wykorzystywanej luce Gitea: atakujący z prawem zapisu do repozytorium może wykonać polecenia z uprawnieniami usługi. Wymagane konto może sam założyć, jeśli działa opisana przez CERT Polska domyślna, otwarta rejestracja. Administrator powinien więc sprawdzić sposób przyjmowania użytkowników, prawa zapisu oraz ślady wykorzystania podatności.

Czy odpowiedź „trzeba się zalogować” wystarcza, żeby uznać dostęp do firmowego Gitea za ograniczony do zatwierdzonych osób? Zanim przyjmiemy takie zapewnienie, poprośmy o pokazanie ustawień rejestracji. Według CERT Polska konfiguracja domyślna pozwala tworzyć konta bez akceptacji administratora. Samo konto nie potwierdza zatem, że ktoś zaakceptował jego właściciela. Pozostaje jeszcze warunek zapisu do repozytorium, który trzeba sprawdzić osobno. Proponujemy potraktować te ustalenia jako początek oceny własnej instalacji: kto może się zarejestrować, gdzie może zapisywać i co wiadomo o dotychczasowej aktywności? Odpowiedzi powinny pochodzić z kontroli Gitea, a brak danych zapiszmy wprost jako brak.

Konto i zapis do repozytorium to odrębne warunki

Według CERT Polska podatność Gitea pozwala przejść od dostępu do zapisu w repozytorium do wykonywania poleceń z uprawnieniami użytkownika usługi. W ocenie ryzyka zachowajmy ten warunek. Informacja o otwartej rejestracji nie wystarcza do stwierdzenia, że każde nowe konto automatycznie uzyskuje potrzebny zapis. Dostęp nowego konta do repozytoriów Gitea pozostaje do ustalenia w konkretnej instalacji.

Kontrolę Gitea proponujemy podzielić na sprawdzenie możliwości utworzenia konta oraz ustalenie jego dostępu do repozytoriów. Przy każdym wyniku zapiszmy, jakie ustawienie lub uprawnienie faktycznie sprawdziliśmy. Jeśli znamy jedynie sposób rejestracji, część dotycząca zapisu pozostaje otwarta. Jeżeli potwierdziliśmy zapis, odnieśmy go do skutku wskazanego w ostrzeżeniu CERT Polska.

W Gitea wymóg logowania może niewiele ograniczać ryzyko, gdy konto powstaje bez zatwierdzenia.

Zakres możliwego wykonania poleceń opisujmy zgodnie z komunikatem: z prawami usługi Gitea. Nie przypisujmy atakującemu dodatkowych uprawnień ani konkretnych skutków dla naszej organizacji bez ustaleń dotyczących jej środowiska. To zadanie dla osoby sprawdzającej instalację.

Deklarację o zatwierdzaniu kont porównaj z ustawieniami

Informacja CERT Polska dotyczy domyślnej konfiguracji Gitea. Nie przesądza, jak skonfigurowano konkretną instalację ani czy jej administrator zmienił sposób rejestracji. Dlatego zamiast zakładać wynik kontroli, poprośmy o odczytanie bieżących ustawień. W notatce z przeglądu zapiszmy osobno możliwość samodzielnego utworzenia konta i ewentualny wymóg jego akceptacji.

Jeśli wewnętrzna procedura przewiduje zatwierdzanie użytkowników Gitea, zestawmy ją z tym odczytem. Ewentualną rozbieżność trzeba najpierw potwierdzić; ostrzeżenie nie dokumentuje zaniedbania konkretnego zespołu. W tym miejscu zderzenie procedury z praktyką ma być pytaniem kontrolnym. Nie dysponujemy opisem zachowania administratorów, który pozwalałby opowiedzieć historię o zignorowanym obowiązku.

Przy przeglądzie Gitea zażądajmy również wskazania, kto może potwierdzić zasadność praw zapisu. Zalecamy sprawdzić wybrane repozytorium i zapisać konta mające taki dostęp, a następnie ustalić zakres dalszego przeglądu. Samo potwierdzenie zamkniętej rejestracji nie odpowiada na pytanie o uprawnienia już istniejących kont. Wyniki obu sprawdzeń powinny znaleźć się obok siebie w ocenie instalacji.

Aktywne wykorzystanie uzasadnia sprawdzenie śladów

CERT Polska informuje o aktywnym wykorzystywaniu podatności Gitea. Z tego powodu w reakcji organizacji proponujemy uwzględnić przegląd śladów możliwego ataku. Nie przenośmy jednak informacji o wykorzystywaniu luki na własną instalację jako potwierdzonego incydentu. Czy ktoś ją zaatakował, ustalmy osobno.

Dla osoby podejmującej decyzję o pracach przy Gitea przygotujmy zapis obejmujący rejestrację, prawa zapisu i stan sprawdzenia aktywności. Każdej niewyjaśnionej sprawie przypiszmy odpowiedzialnego oraz termin odpowiedzi. Jeżeli brakuje dostępu do danych potrzebnych do analizy, wpiszmy ten brak wprost. Proponujemy, by raport pozwalał odróżnić wykonane sprawdzenie od zadania, które dopiero czeka na wykonanie.

Kontrolę Gitea rozliczajmy z ustaleń o rejestracji, zapisie i śladach ataku, zamiast z samego potwierdzenia logowania.

Koszt przeglądu i zakres ewentualnych następstw pozostają nieznane na podstawie samego ostrzeżenia. Kierownictwu zalecamy poprosić o oszacowanie prac przy własnym Gitea, bez dopisywania strat lub scenariusza przejęcia całej organizacji. Podstawą pilności jest tutaj informacja o aktywnym wykorzystaniu luki, a nie hipotetyczna kwota szkody.

Ostrzeżenie CERT Polska daje polskim odbiorcom punkt wyjścia

Polskim punktem odniesienia jest komunikat CERT Polska opublikowany 26 sierpnia 2026 r. Zawarte w nim ostrzeżenie proponujemy przekazać osobie odpowiedzialnej za firmowe Gitea wraz z konkretnym zakresem kontroli. Poprośmy o odpowiedź dotyczącą naszej instalacji, obejmującą sposób rejestracji, uprawnienia do repozytoriów i możliwość sprawdzenia śladów wykorzystania podatności.

Przywołane ostrzeżenie CERT Polska nie określa liczby zaatakowanych polskich organizacji ani skali strat. W komunikacji do kierownictwa zachowajmy więc atrybucję do CERT Polska i nie przedstawiajmy ostrzeżenia jako statystyki krajowych incydentów. Tak samo informacja o aktywnym wykorzystywaniu luki Gitea nie daje podstaw, by ogłaszać wzrost liczby ataków.

Proponujemy zachować odnośnik do komunikatu CERT Polska przy wynikach kontroli, tak aby odbiorca mógł porównać opisane warunki z ustaleniami administratora. Nazwa stałej rubryki poniżej nie wyznacza terminu reakcji: przy aktywnym wykorzystywaniu luki Gitea zalecamy rozpoczęcie sprawdzeń bez czekania na poniedziałek.

Co z tym zrobić w poniedziałek

  1. Sprawdź rejestrację Gitea. Poświęć do 30 minut na odczyt ustawień wraz z administratorem. Zapisz, czy nowe konto wymaga akceptacji, i porównaj wynik z przyjętą zasadą dostępu. Jeśli ustawień nie uda się potwierdzić, wskaż osobę odpowiedzialną za ich sprawdzenie.
  2. Sprawdź zapis do repozytorium. W ciągu 30 minut przejrzyj uprawnienia do wybranego repozytorium Gitea. Zanotuj konta z prawem zapisu i zaznacz dostępy wymagające wyjaśnienia. Ustal odpowiedzialnego za dalszy przegląd; wynik tej próbki nie zastępuje kontroli pozostałych repozytoriów.
  3. Rozpocznij sprawdzanie śladów. Przeznacz 30 minut na ustalenie dostępności logów Gitea i zakresu ich dalszej analizy pod kątem wykorzystania luki. Zapisz dostępny okres oraz braki, przypisz osobę do analizy. Ten krok służy przygotowaniu sprawdzenia, bez obietnicy wykluczenia ataku w pół godziny.

Warunek konta w Gitea oceniajmy przez sposób jego uzyskania oraz towarzyszące mu uprawnienia. Przy rejestracji bez zatwierdzania wymóg logowania może niewiele ograniczać ryzyko. Od oceny własnej instalacji wymagajmy odpowiedzi o prawach zapisu i śladach wykorzystania luki.

Źródła

Redakcja cyberinsight.pl.