Betroffene Einrichtungen
Bereich
Gitea weist eine Code-Injection-Schwachstelle auf, bei der ein Angreifer mit Schreibzugriff auf ein Repository einen manipulierten Patch an den diffpatch-API-Endpunkt senden kann, um einen ausführbaren Git-Hook einzuschleusen und damit beliebige Shell-Befehle im Kontext des Gitea-Dienstkontos auszuführen. Dies ermöglicht einem Angreifer mit vergleichsweise niedrigen Rechten eine vollständige Kompromittierung des Gitea-Servers und potenziell des darunterliegenden Systems. Im Gesundheitswesen wird Gitea sofern betrieben typischerweise für die interne Versionsverwaltung von Softwareprojekten, Konfigurationsdateien oder medizinischen Applikationen eingesetzt; eine Kompromittierung kann zur Manipulation von Quellcode oder Konfigurationen kritischer Systeme wie KIS oder LIS führen. Betroffene Einrichtungen sollten unverzüglich patchen, Zugriffsrechte einschränken und das System auf bereits eingepflanzte Git-Hooks untersuchen.
1 Gitea-Installation umgehend auf die aktuelle stabile Version aktualisieren (Herstellerseite gitea.io prüfen) und dabei sicherstellen, dass der Patch für die diffpatch-API-Schwachstelle enthalten ist.
2. Schreibzugriffe auf Gitea-Repositories auf das absolut notwendige Minimum beschränken und bestehende Benutzerberechtigungen auditieren, um unbefugte Write-Zugänge zu entfernen.
3. Gitea-Dienst unter einem dedizierten, minimal-privilegierten Dienstkonto betreiben und sicherstellen, dass das Konto keine administrativen Rechte auf dem Host-System hat.
4. Netzwerkzugang zur Gitea-Instanz auf autorisierte interne Netzwerksegmente beschränken und externe Erreichbarkeit über Firewall-Regeln unterbinden, sofern nicht zwingend erforderlich.
5. Gitea-Logs und Git-Hook-Verzeichnisse auf verdächtige Aktivitäten oder unautorisiert angelegte Hook-Skripte überprüfen und ein Monitoring für unerwartete Shell-Ausführungen einrichten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja