Gitea 28.1.0, 27 güvenlik açığını kapatıyor; ilk iş暴露 açığa çıkmış örnekleri tespit etmek

Sürümlerin düzelttikleri

Gitea'nın 28.0.0 ve 28.1.0 sürümleri birlikte değerlendirildiğinde 27 güvenlik sorununu kapattı. SecurityOnline derlemesine atıfta bulunan dev.to analizine göre bu set içinde bir Kritik, dört Yüksek ve beş Orta düzey güvenlik açığı bulunuyor; geri kalanlar ise derecelendirilmemiş. Bunlardan hiçbiri için sahada doğrulanmış bir sömürü vakası yok.

Bu gruptaki en yüksek skor, CVSS v3'te 9.1 olan CVE-2026-103059'a ait; bu açık Gitea'nın yerleşik SSH sunucusunu etkiliyor. 8.1 puanlı CVE-2026-96404, parola kontrolü yapmadan yönetici oturumu açabilen bir web installer'ı kapsıyor. 7.5 puanlı CVE-2026-103670 ise güvenilir bir workflow'ün onaylanmamış bir fork çalıştırmasından iptal edilmesine izin veriyor ve Actions onay ailesindeki düzeltmeler arasında yer alıyor.

Sürüm tablosu burada önemli: Gitea 1.27.3 veya daha eski sürümlerdeki kurulumlar, iki sürüm hattı birleştirildiğinde 27 açığın tamamını taşıyor; 28.1.0 ise 28.1.0'ın sonradan düzelttiği sekiz açığı hâlâ barındırıyor. dev.to yazarının özetle görüşü, kurulum yöntemi ne olursa olsun her dağıtım için yükseltme hedefinin 28.1.0 olduğudir.

Yamalamadan önce envanter

Analizin temel argümanı, Gitea yükseltmesinin önce bir envanter sorunu, ikinci olarak bir yama sorunu olduğudur. Bir forge genellikle her ekip veya organizasyon için tek bir host üzerine, platform ekibi değil bir geliştirici tarafından kurulur. Bu desen, küçük, uzun ömürlü ve az belgelenmiş kurulumlardan oluşan filolar ortaya çıkarır: kimisi iki yıl önce bir container imajından kurulmuş ve bir daha el değmemiş, kimisi iyi bilinen bir hostname üzerinde bir reverse proxy arkasında çalışıyor.

Yazar, bu iki durum arasındaki暴露 farkının, bu sürümdeki CVE'lerin önem dereceleri arasındaki farklardan daha büyük olduğunu savunuyor. Pratikte, bir load balancer yapılandırmasından çekilen hostname listesi, birinin boş bir sanal makine üzerinde kurup bir tünel üzerinden eriştirdiği örneği göremez.

Erişilebilir olmak sömürülebilir olmak değildir

Sorunun internete bakan kısmı parmak izi (fingerprint) verisiyle yanıtlanabilir. Gitea'nın web arayüzü HTML başlığında, headerlarda ve statik dosyalarda kendine özgü yanıtlar sunar; parmak izine uyan ve genel bir adresten yanıt veren bir host, aynı sorguyu çalıştıran herkes tarafından keşfedilebilir.

Ancak erişilebilirlik, sömürülebilirlik demek değildir. CVE-2026-103670, fork workflow'lerinin etkin olmasını gerektirir; diğer Actions sorunları benzer yapılandırma ister; SSH anahtarı açığı ise yalnızca yerleşik SSH sunucusunun kullanıldığı yerlerde geçerlidir. Bu koşulların her biri暴露 açık kümeyi daraltır ve hiçbiri host'un dışından görülemez.

Açıkta olan filonun ölçülmesi

Genele açık bir sayı için analiz ZoomEye'ye işaret ediyor: app="Gitea" araması, 100 eşik değeriyle ölçüldüğünde 2026-10-07 tarihinde 116.431 varlıkla eşleşti. Bu rakam Gitea parmak izine uyan hostları tanımlıyor ve sürüm ya da yapılandırma hakkında hiçbir şey söylemiyor. Aynı sorgunun bir organizasyonun kendi adres alanına veya kayıtlı domainlerinin kapsamlarına uygulanması, genel istatistiği bir aday listesine dönüştürür.

Yazar ayrıca kaçınılması gereken bir yanlış rahatlığa dikkat çekiyor: yeni CVE tanımlayıcısı için yapılan bir ZoomEye sorgusu dizine eklenmiş varlık döndürmedi; bu, yeni yayınlanan bir tanımlayıcı için beklenen bir durumdur ve hiçbir filonun temiz olduğunu göstermez.

Operatörler ne yapmalı

Önerilen sıra önce listeyi oluşturmak, ardından 28.1.0'a yamalamaktır. İnternete bakan alt küme için dış parmak izi verisi kullanın; iç örnekler için ağ taramasını varlık kayıtlarıyla birleştirin. Analiz, UI'da gösterilen sürüm dizesi yerine build numarasını doğrulamayı öneriyor; çünkü bazı dağıtımlar gerçek binary'nin gerisinde kalan bir container etiketi sabitlemiş olabiliyor.

Hemen yükseltilemeyen örnekler için önerilen azaltıcı önlemler şunlardır: web installer'ı erişilemez kılmak, migration ve mirror oluşturmayı kısıtlamak ve fork pull request workflow'leri için onay zorunlu kılmak.

Neden önemli

Bir forge, kaynak kodu, pipeline tokenlarını ve dağıtım kimlik bilgilerini tek bir host üzerinde toplar; bu da bir ihlalin maliyetini yükseltir. Bu gruptaki installer ve SSH açıkları yönetici kontrolüne kadar ulaşabiliyor; dolayısıyla gözden kaçan tek bir host, pipeline'ların dokunabildiği her şeye giden bir yola dönüşebilir. Analizin deyimiyle, bilinmeyen bir örnek, sonuna bir gecikme eklenmiş yamalanmamış bir örnektir. Genel tarama verilerinde 116.000'den fazla parmak izi eşleşmiş host görünürken, operatörler için pratik iş bu sayıyı kendi envanterine daraltmak ve 28.1.0'a olan açığı kapatmaktır.