Tespit rehberi, Gitea SSRF zafiyeti CVE-2026-101027'nin istismarını yakalama yolunu haritalıyor

Zafiyetin arkasındaki allow-list boşluğu

dev.to'da yayımlanan bir tespit rehberine göre CVE-2026-101027, Gitea'daki ve CVSS v3 üzerinde 7.7 puan alan bir server-side request forgery (SSRF) zafiyeti. Hata, diğer forglardan depo içe aktaran veya senkronize eden migration ve mirror özelliklerinde yer alıyor. Rehberin aktardığına göre kök neden, Gitea'nın migration allow listesindeki bir hostname'i, o adın çözüldüğü adresin yerel ağ kısıtlamaları kapsamına düşüp düşmediğini kontrol etmeden kabul etmesiydi. Bu nedenle dahili bir hizmeti işaret eden allow-list'e ekli bir alan adı kontrolden geçebiliyordu. Yayım anında sahada istismar edilmiş bir vaka ya da herkese açık bir proof-of-concept doğrulanmamıştı.

Bakılacak üç bağımsız yer

İstismar meşru bir özelliğe bindiği için rehber, tespitin imza tabanlı değil davranışsal olması gerektiğini savunuyor ve değerin büyük kısmını taşıyan üç veri kaynağına işaret ediyor.

Gitea'nın uygulama logu, migration ve mirror eylemlerini kaynak depo URL'siyle birlikte kaydediyor. Bu kayıtlarda dahili adreslere çözülen hostnameleri ya da aniden beliren başarısız migration kümelerini taramak, politika kontrolünün engellemediği girişimleri gün yüzüne çıkarabilir.

Gitea sunucusundan alınan ağ akış verisi, sunucunun gerçekte nereye bağlandığını gösteriyor. Bir Git sunucusundan dahili bir web uygulamasına, bir servis kayıt defterine veya link-local bir metadata adresine giden trafik çoğu ortamda göze çarpar ve uyarı kurulması kolaydır. Akış kayıtları ayrıca uygulama logunun hiç göremediği yönlendirme (redirect) zincirlerini de yakalar.

DNS telemetrisi resmi tamamlıyor. Allow-list'e ekli bir ad özel bir adrese çözünmeye başlarsa, bu değişiklik ya DNS loglarında ya da ekip tarafından yürütülen periyodik yeniden çözümleme kontrollerinde bir çözümleme değişikliği olarak ortaya çıkar.

Bir saldırı ne gerektiriyor ve ne sağlıyor

İstismar koşulları zafiyetin aynasıdır: migration haklarına sahip bir hesap, dahili olarak çözülen allow-list'li bir hostname ve Gitea sunucusundan hedefe ağ erişilebilirliği. Başarılı bir istismar saldırgana güvenilir ağın içinden istek gönderme, dahili API'lere ve metadata servislerine ulaşma ve idari uç noktalarında durum değişiklikleri tetikleme yeteneği kazandırıyor. Rehber, tekniğin üç bağımsız yerde iz bıraktığını vurguluyor; bu yüzden gözden kaçan tek bir log satırı, olayın kaydedilmediği anlamına gelmez.

Yamalama ve maruziyet

Etkilenen kod yolu aynı sürümdeki ilgili SSRF kayıtlarıyla paylaşılıyor; düzeltmeler 28.x hattında geldi ve rehber Gitea 28.1.0'a yükseltmeyi öneriyor. Yetkili etkilenen sürüm aralığı Gitea güvenlik duyurusunda yer alıyor. SecurityOnline'ın aktardığına göre yamalar, Gitea'nın 28.0.0 ve 28.1.0 sürümlerinde 27 güvenlik açığını düzelttiği daha geniş bir güncellemenin parçası olarak geldi.

Maruziyet bağlamı için rehber, 2026-10-10 tarihinde 116.528 varlık döndüren Gitea dağıtımlarına yönelik bir ZoomEye sorgusuna ve CVE'nin kendisine bağlı sıfır sonuç döndüren bir sorguya atıf yapıyor. Yazar, parmak izi rakamının yalnızca internetten görünen örnekleri saydığını ve yama seviyesinden hiçbir şey söylemediğini, dolayısıyla dahili değerlendirmenin hâlâ gerekli olduğunu hatırlatıyor.

Yükseltmenin yanı sıra rehber; migration loglarını saklamayı, bir migration hedefi dahili olarak çözüldüğünde uyarı vermeyi; Gitea sunucusundan özel, loopback ve link-local aralıklarına giden çıkış trafiğine uyarı kurmayı; allow-list'li adlar için çözümleme değişikliklerini izlemeyi; migration haklarını güvenilir hesaplarla sınırlamayı; ve kullanılmayan mirror'ları kaldırmayı öneriyor.

Neden önemli

Geliştirici araçlarındaki SSRF hataları bulut metadata'sına ve dahili servislere giden iyi bilinen bir yoldur ve uzak depolardan içerik çeken bir migration özelliği de bir saldırganın pivot olarak yeniden kullanabileceği türden meşru bir yetenektir. Exploit koduna gerek olmadan, sadece doğru izinler ve işbirliğine hazır bir DNS adıyla pratik savunma görünürlüktür: Gitea sunucusunun neye bağlandığını ve kimin onu neyi migrate etmeye yönlendirebileceğini bilmek. Rehberin katkısı, soyut bir CVSS sayısını, bir güvenlik ekibinin belki hiç gelmeyecek göstergeleri beklemeden uygulayabileceği somut ve doğrulanabilir sinyallere dönüştürmek.