Gitea にコード注入の脆弱性（CVE-2026-60004）― 「Gitフック」を仕込まれてサービス権限で実行される

1Gitフックという実行の仕掛け

Gitには「フック」と呼ばれる仕組みがあります。コミットの前後、プッシュの受信時など、決まった出来事が起きたときに自動で走るスクリプトのことです。本来は、書式の検査や通知、ビルドの起動といった作業を自動化するために用意されたものです。しかし裏を返せば、フックの置き場所に実行可能なファイルを置ければ、その出来事が起きた瞬間にコードが動くということでもあります。攻撃者が狙うのは、この「置ければ動く」という性質です。

2「サービスアカウントとして」実行される

カタログの説明は、実行される権限が Gitea のサービスアカウントであると明記しています。このアカウントは、ホストしている全リポジトリのファイルと、Gitea自身の設定・データベースへの権限を持ちます。つまり、あるリポジトリへの書き込み権限しか持たない攻撃者が、そこを起点にサーバ全体の権限へ移れるという構図です。

1つのリポジトリの権限を渡すことが、サーバ全体の権限を渡すことになってはいけない——その境界が壊れています。

3開発基盤が攻撃対象になるということ

Gitea は、クラウドのサービスを使わずに自組織でソースコードを管理したい場合に選ばれるソフトウェアです。ここにはソースコード、ビルドの設定、そしてしばしば配備に使う資格情報が集まります。開発基盤が破られると、影響はそのサーバにとどまらず、そこから配られる成果物へ広がりえます。

当サイトは、成果物リポジトリ（JFrog Artifactory）の脆弱性も別に収録しており、開発の供給網に位置する製品が続けてKEVに載っていることが分かります。

4置ければ動く、という性質

Gitのフックは、決まった出来事が起きたときに自動で走るスクリプトです。本来は自動化のために用意されたものですが、その性質がそのまま攻撃に使われます。

1. 1フックの置き場所に書くあるリポジトリへの書き込み権限があればよい
2. 2決まった出来事が起きるコミットの前後、プッシュの受信時などが引き金になる
3. 3自動でスクリプトが走る置ければ動くという性質がそのまま使われる
4. 4サービスアカウントの権限で動く全リポジトリのファイルとGitea自身の設定・データベースに手が届く

つまり、あるリポジトリへの書き込み権限しか持たない攻撃者が、そこを起点にサーバ全体の権限へ移れるという構図です。1つのリポジトリの権限を渡すことが、サーバ全体の権限を渡すことになってはいけない——その境界が壊れています。リポジトリへの書き込み権限は社内では比較的広く配られる権限であり、前提条件の重さの評価が変わります。