Gitea の深刻な脆弱性 CVE-2026-59774 が FIX：：サーバー上のファイル読み取りとコード実行の恐れ

Critical Gitea Flaw Lets Unauthenticated Attackers Read Server Files and Execute Code

2026/08/04 gbhackers — Gitea に存在する重大な脆弱性が確認された。この脆弱性を悪用する未認証のリモート攻撃者は、脆弱なサーバー上の任意ファイルを読み取り、リモート・コード実行 (RCE) へ向けて権限を昇格させる可能性がある。この脆弱性 CVE-2026-59774 (GHSA-6v53-hr58-556r) は、Gitea バージョン v1.22.1 〜 v1.27.0 に影響を及ぼし、CVSS 9.8 が割り当てられているほか、攻撃条件はネットワーク経由／低複雑性／権限不要／ユーザー操作不要と評価されている。

Gitea はすでにバージョン 1.27.1 をリリースし、この問題に対処しているため、影響を受けるバージョンを使用している組織には直ちに更新することが求められる。特に、公開アクセス可能なリポジトリを Gitea インスタンスがホストしている場合には、深刻なリスクが生じる。

Gitea の重大な欠陥

この脆弱性は、Gitea のリポジトリ・マークアップの描画エンドポイントに存在する。

POST /{owner}/{repo}/markup

このエンドポイントは、リポジトリへの割り当てと読み取り権限のチェックを適用するが、未認証ユーザーであっても、コード・ユニットが有効な公開リポジトリを標的にする場合には、これらの条件を満たすことになる。攻撃者がファイルをコミットする権限、またはリポジトリへの書き込み権限を取得すると、Gitea インスタンスでの認証を必要とせずに、このエンドポイントにマークアップを直接送信できる。

描画モードを “file” に設定し、.org で終わるファイル名を指定することで、Org-mode レンダラーを呼び出すことができる。

アドバイザリによると、Gitea バージョン 1.27.0 は org.New() を使用して go-org ライブラリを初期化するが、デフォルトの ReadFile コールバックを置き換えていない。go-org バージョン 1.9.1 では、このコールバックは ioutil.ReadFile に解決され、Org-mode レンダラーは #+INCLUDE ディレクティブをサポートしているため、絶対ファイルパスを受け付ける。

アプリケーションは、インクルードされるパスを指定ディレクトリに制限していないため、攻撃者は Gitea サービス・アカウントからアクセス可能なファイルを要求できる。この挙動は、一般にパス・トラバーサルとして知られる CWE-22 (制限されたディレクトリへのパス名の不適切な制限) に分類される。

直接的な影響は任意のファイルの開示であり、攻撃者はそれにより Gitea の app.ini コンフィグファイル／内部 bearer token／OAuth または JWT 関連のシークレット／デプロイメント・メタデータなどを読み取れる。つまり、Gitea のオペレーティング・システム・ユーザーが読み取り可能な機密性の高いファイルを取得する可能性がある。

このアドバイザリが警告するのは、Gitea の INTERNAL_TOKEN が露出すると、より深刻な攻撃チェーンが可能になる点である。このトークンを悪用する攻撃者は、内部機能を操作し、内部ロガーを介して悪意のある Git hook を注入し、匿名ユーザーがリポジトリをクローンした際にコマンドを実行する可能性がある。

悪用に成功するには、markup route へのアクセスを許可するコンフィグを備えた、少なくとも 1 つの公開され、読み取り可能なリポジトリが必要である。コード・ユニットが有効な標準の公開リポジトリは、この要件を満たすため、インターネットに露出した Gitea デプロイメントは優先して確認すべき対象となる。

管理者には、Gitea をバージョン 1.27.1 以降の修正済みリリースへアップグレードすることが求められる。更新が適用されるまでの間は、運用上可能な場合に公開リポジトリへのアクセスを制限し、リポジトリ・マークアップ・エンドポイントへの不審なリクエストの有無を Gitea ログで監視する必要がある。

セキュリティ・チームには、情報の露出が疑われる場合に、INTERNAL_TOKEN と Gitea コンフィグファイルに保存されている認証情報をローテーションすることが求められる。それに加えて、Git hook／グローバル Git 設定／最近のリポジトリ・アクティビティを確認し、予期しない変更の有無を調査する必要がある。

この脆弱性は xbow-security が発見し、Xbow の Guido Leo がトリアージを行った後、NightRang3r として知られる独立系研究者が報告した。

訳者後書：オープンソースのソフトウェア開発プラットフォームである Gitea において、外部からの不正操作を可能にする重大な不具合が特定されました。外部の第三者が認証を経ずにサーバー内部の重要なファイルを直接閲覧でき、そこからシステム全体を管理する権限を奪取される危険性があります。組織の機密情報や重要な設定データが外部へ漏洩するだけでなく、不正なプログラムが実行される恐れがあるため注意が必要です。この問題 CVE-2026-59774 (GHSA-6v53-hr58-556r) の対策として、開発元が配信している修正済みバージョン v1.27.1 以降へ迅速に更新してください。ご利用のチームは、ご注意ください。