Gitea ha lanzado actualizaciones de seguridad para corregir 27 vulnerabilidades en sus versiones 28.0.0 y 28.1.0. Entre los fallos solucionados destacan un salto de autenticación SSH crítico y debilidades de solicitud de falsificación del lado del servidor (SSRF). Las correcciones afectan el acceso a cuentas, permisos de repositorios, flujos de trabajo automatizados y conexiones internas, por lo que se recomienda a los administradores priorizar esta actualización de forma urgente.

Gitea ha lanzado actualizaciones de seguridad que corrigen 27 fallos reportados en las versiones 28.0.0 y 28.1.0, incluyendo un bypass crítico de autenticación SSH y debilidades de falsificación de solicitudes del lado del servidor (SSRF).

Las correcciones abarcan el acceso a cuentas, permisos de repositorio, flujos de trabajo automatizados y conexiones a sistemas internos. Debes tratar esta actualización como una prioridad urgente para tu infraestructura de desarrollo.

Lanzada el 30 de septiembre, la versión 28.0.0 de Gitea enumera 20 CVE en sus notas de seguridad. El total reportado de 27 abarca esa versión y la actualización posterior 28.1.0, en lugar de solo la 28.0.0. Gitea también eliminó su prefijo histórico de versión "1.", haciendo que este lanzamiento sea la 28.0.0 en lugar de la 1.28.0.

El problema más destacado, CVE-2026-103059, tiene una puntuación CVSS de 9.1 y afecta a los despliegues que utilizan el servidor SSH integrado de Gitea. Su búsqueda de clave pública utilizaba una comparación SQL LIKE que ignora las mayúsculas y minúsculas en algunas bases de datos, incluida la base de datos SQLite predeterminada. Esto podría causar que una clave RSA especialmente diseñada coincida con la clave registrada de otro usuario.

Un atacante que construya una variante de mayúsculas/minúsculas adecuada de la clave pública de una víctima y derive su clave privada correspondiente podría autenticarse como esa víctima.

No se trata de un bypass general utilizando cualquier clave alterada; el atacante debe cumplir esos requisitos de clave. Ahora Gitea identifica las claves presentadas a través de sus huellas digitales, eliminando la comparación de texto insegura.

Gitea Parchea 27 Fallos de Seguridad

Varios fallos parcheados permitían que las migraciones de repositorios y los espejos (mirrors) omitieran las reglas de conexión saliente. El CVE-2026-70357 implicaba un hueco entre la validación del nombre de host y la conexión Git real.

Un atacante podría cambiar la respuesta DNS del nombre de host durante ese intervalo, dirigiendo a Gitea hacia un host interno después de que la comprobación de seguridad inicial hubiera sido superada.

El CVE-2026-101027 permitía que un dominio aprobado omitiera las comprobaciones de IP de destino, mientras que el CVE-2026-101029 utilizaba múltiples respuestas DNS para evadir la lista de permitidos de salida.

Otro fallo, el CVE-2026-89430, permitía que los espejos de push se conectaran a hosts Git internos después de que sus direcciones guardadas hubieran pasado una comprobación anterior, permitiendo potencialmente pushes forzados.

Ahora Gitea enruta las operaciones de red de Git a través de un proxy interno que aplica reglas de acceso saliente cuando ocurren las conexiones. Debes revisar los cambios de configuración antes de actualizar. Para una política de denegación por defecto, las notas de lanzamiento te indican que configures EGRESS_MODE = strict y enumeres explícitamente los hosts permitidos.

La actualización también cierra brechas de aprobación en Gitea Actions. El CVE-2026-104632 permitía que un flujo de trabajo de fork cancelado y pendiente de aprobación llegara a los ejecutores (runners) auto-alojados al ser ejecutado nuevamente.

El CVE-2026-94205 comprobaba solo al actor del evento, permitiendo que un evento activado por un mantenedor ejecutara el flujo de trabajo de un colaborador no confiable sin la aprobación requerida. Ambas comprobaciones han sido reforzadas.

Otras correcciones abordan el cross-site scripting almacenado en blobs de contenedores, entradas duplicadas en el árbol de Git que podrían ocultar archivos maliciosos a los revisores, y un fallo en el instalador que emitía la sesión de un administrador existente sin comprobar la contraseña. Las correcciones de permisos también eliminan el acceso residual a la transferencia de repositorios y evitan que las claves de despliegue hereden privilegios del propietario del repositorio.

Debes hacer una copia de seguridad de tus datos, revisar los cambios disruptivos y actualizar a la versión 28.1.0. Las notas de lanzamiento de Gitea explican las nuevas reglas de red, el mínimo de Git 2.25 y el comportamiento cambiado del flujo de trabajo.

Los informes relacionados sobre los bypass de permisos de repositorios privados proporcionan un contexto útil sobre los riesgos de acceso de Gitea. La cobertura previa sobre la explotación de RCE en Gitea también muestra por qué es importante no retrasar los parches. Sin embargo, aquellos ataques implicaban una vulnerabilidad distinta, no estos problemas recién corregidos.

Fuentes:
https://cybersecuritynews.com/gitea-patches-27-security-flaws/