CVE-2025-5784: Gitea仓库迁移SSRF导致内部信息泄露

漏洞概述 漏洞名称: Repository Migration Follows Git HTTP Redirects After URL Allow/Block Validation, Enabling Internal Git Repository Exfiltration CVE ID: CVE-2025-5784 严重程度: 高 (8.5/10) 描述: Gitea 在验证用户提供的仓库迁移 URL 时，虽然对初始 URL 进行了 URL 允许/阻止验证，但在实际的克隆和后续镜像拉取操作中，Git 客户端会遵循 HTTP 重定向。这导致了一个 URL 策略绕过、SSRF（服务器端请求伪造）和内部 Git 仓库信息泄露的漏洞。低权限认证用户可以提交一个允许公共 Git URL，该 URL 重定向到 Gitea 服务器无法访问的内部 Git HTTP(S) 端点。本地验证确认了 Git 遵循了一次重定向到 ，获取了 Git 对象，并完成了克隆。 主要影响: 内部 Git 仓库信息泄露到攻击者控制的 Git 仓库。 镜像拉取增加了风险，因为计划执行的 操作可以遵循重定向并收集后续内部对象。 对于启用了迁移的互联网可访问实例，此漏洞默认为高危，可能变为严重，如果内部仓库包含部署密钥、CI/CD 密钥、云凭证、Terraform 状态、kubeconfig、签名材料或生产配置。 直接未授权利用、直接 Git 服务器 RCE、任意 导入和默认 Actions 运行器执行未得到确认。 影响范围 受影响版本: (Go) <= 1.26.4 修复版本: (Go) 1.27.0 攻击向量: 网络 攻击复杂度: 低 所需权限: 低 用户交互: 无 范围: 改变 机密性: 高 完整性: 低 可用性: 无 关键前提条件: 启用了仓库迁移（默认启用）。 攻击者拥有低权限账户或实例允许自注册。 对于持久性信息泄露，必须启用镜像拉取。 Gitea 服务器可以访问攻击者无法直接访问的内部 Git HTTP(S) 服务。 高价值目标: 内部 Gitea、GitLab、GitHub Enterprise、Bitbucket、cgit、git-http-backend 和静态裸 Git 仓库。 包含 CI/CD 定义、部署清单、IaC 凭证或生产配置的仓库。 修复方案 推荐修复措施: 禁用迁移克隆和镜像拉取操作中的 Git HTTP 重定向，除非在相同的迁移允许/阻止策略下明确重新验证每个重定向 URL。 具体代码修改: 验证步骤: 本地安全 PoC 使用两个 HTTP 服务：重定向服务（代表攻击者控制的公共 URL）和目标服务（代表内部 Git HTTP 仓库）。 观察到 被调用并指向重定向 URL，重定向器返回到内部目标 URL 的一次重定向，Git 遵循重定向，内部目标接收请求，克隆成功完成，克隆的仓库包含预期的文件内容。 镜像拉取行为也进行了本地验证，裸远程镜像配置为指向重定向 URL， 遵循重定向到内部目标，目标接收对象请求，镜像成功获取预期的分支引用。 禁用 Git HTTP 重定向的缓解行为被验证，克隆失败并返回 HTTP 302 错误。 额外验证: 尝试通过 进行 HTTP 重定向，Git 拒绝重定向的本地文件协议，基于此验证，该报告不排除任意二进制本地文件系统读取或本地仓库导入通过 重定向。 验证范围: 本地 PoC 验证了安全关键的 Git 网络行为：Git clone/fetch 遵循重定向并检索重定向内部目标的仓库对象。 代码审查验证了 Gitea 的迁移处理程序将验证后的克隆 URL 传递给 Git clone/fetch 路径，而不禁用 HTTP 重定向。 一个完整的 Gitea UI/API 端到端利用证明未作为此报告的一部分执行。如果需要额外保证，可以在提交之前通过 POST 或 POST 提交重定向 URL，并确认结果攻击者拥有的 Gitea 仓库包含内部仓库的内容。对于镜像模式，添加新提交到内部目标并确认后续镜像同步导入它。 影响评估: 确认影响是服务器端 Git 网络访问重定向目标，导致内部 Git 仓库信息泄露，当重定向目标可访问时。这可能会暴露私有源代码、完整 Git 历史、删除的密钥、内部部署、部署管道、服务名称和未来的提交，如果镜像拉取继续同步。 最高风险的次要影响是秘密提取。内部仓库通常包含 CI/CD 定义、部署脚本、kubeconfig、Terraform 状态、云密钥、注册密钥、包发布令牌、PATs、SSH 部署密钥、webhook 密钥、签名密钥和历史凭证。这些材料的暴露可能导致 CI/CD 妥协、云妥协、生产妥协或供应链妥协。 直接 Git 服务器 RCE 未得到确认。克隆路径使用 ，远程 Git 钩子不由正常克隆、本地验证显示 Git 拒绝 重定向，且重定向命令构造不显示明显的 shell 注入。间接 RCE 仍然可能通过存储 CI/CD、云、部署、包或 Actions 运行器命令。 事件响应者应将此利用视为潜在源代码和秘密泄露，而不仅仅是 SSRF 探针。建议的排查包括审查最近迁移的仓库和镜像，识别异常 URL 来源或重定向域，检查 Gitea 和出口日志关于迁移/镜像同步时间，秘密扫描受影响仓库，轮换暴露凭证，并删除恶意镜像配置。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2025-5784: Gitea仓库迁移SSRF导致内部信息泄露

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2025-5784: Gitea仓库迁移SSRF导致内部信息泄露

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！