JVN iPediaは2026年10月14日、Giteaの認証に関する脆弱性情報を掲載しました。今回の資料には、Gitea Actionsのワークフローと認可、リポジトリ移行処理の問題もあり、計4件の確認が必要です。対象版が異なるため、利用中の版とActionsの設定を分けて点検してください。
認証と移行処理は28.1.0未満が対象
認証の脆弱性はCVE-2026-101023です。深刻度を示すCVSS v3基本値は9.1で、区分は「緊急」です。Gitea 28.1.0未満が影響を受けます。
問題は、OAuth2という認証・認可の仕組みで、更新に使うトークンがリフレッシュ用かどうかを確認していなかったことです。同一のアプリ・グラントに属する有効なアクセストークンを更新に使えます。そのトークンを持つ人は、元の有効期限を超えてアクセスを継続できます。期限を設定していることだけで、アクセスが終了すると判断しないことが重要です。
リポジトリ移行処理のCVE-2026-104633も、対象は28.1.0未満です。CVSS v3基本値は6.5で「警告」です。移行元がmax_response_itemsを0と報告すると、処理が無限ループになります。移行権限を持つユーザーが、メモリを使い切らせるDoS、つまりサービス妨害を引き起こせます。こちらは移行権限の所在も確認対象です。
Actionsの2件は承認と再実行の扱いに問題
Gitea Actionsには、処理の流れを定義するワークフローと、操作を許可する認可に関する2件の脆弱性があります。いずれもGitea 28.0.0未満が対象で、CVSS v3基本値は8.8の「重要」です。
CVE-2026-104626では、後続の承認でキャンセル済みのジョブが復活し、フォーク側のコードが動きます。フォークは元のリポジトリから分かれたものです。悪用には、フォークから変更提案を送るプルリクエストを作成できる権限が必要です。加えて、Actionsの有効化、処理を実行する対応ランナー、メンテナによる後続の承認が条件となります。
CVE-2026-104632では、Actionsの書き込み権限を持つ人による、承認待ち実行の取消・再実行が問題になります。フォーク側のコードが、明示的な承認なしでランナー上で動く可能性があります。コード実行には、Actionsの有効化と一致するランナーの登録が必要です。
2件とも、版だけでなく権限や承認操作が関係します。「承認待ち」や「キャンセル済み」という状態だけを根拠に、コードは動かないと判断しないでください。
影響する会社・しない会社
- 影響する: Gitea 28.1.0未満を利用する会社は、認証とリポジトリ移行処理の影響対象です。移行処理のDoSには、移行権限を持つユーザーが関係します。
- 影響する: Gitea 28.0.0未満でActionsを有効化し、対応するランナーを登録している会社は、Actionsの2件を確認する必要があります。書き込み権限や後続承認の条件も点検対象です。
- 影響しない: Giteaを利用していない会社は、今回示された製品の影響対象には入りません。開発部門や委託先で利用していないかは確認してください。
- 影響しない: Actionsを無効にしている、または必要なランナーを登録していない環境は、資料に記載されたActionsのコード実行条件を満たしません。ただし、認証と移行処理の問題は別に確認が必要です。
情シスが今日やること
- 利用版と管理者を洗い出す。 今日の確認として、開発部門と運用委託先にGiteaの利用有無、稼働版、管理責任者を問い合わせます。構成記録や導入時の記録と照合してください。版を確認する具体的な管理画面の名称・場所は、資料には書かれていません。
- Actionsの設定と権限を確認する。 管理者に、Actionsの有効化状況、登録ランナー、Actionsの書き込み権限者、フォークからの変更提案と承認の運用を確認してもらいます。取消・再実行や後続承認が関係する2件を、リポジトリの管理担当者にも知らせます。
- 認証と移行の担当を分けて確認する。 28.1.0未満の場合は、認証担当にOAuth2のトークン更新の問題を、リポジトリ管理担当に移行権限の確認を依頼します。Actionsを使っていなくても、この確認は省かないでください。
- ベンダ情報で対策と実施日を決める。 JVNはベンダ情報を参照して適切な対策を実施するよう案内しています。対象版の境界だけで更新先を決めず、ベンダ情報を確認し、開発部門と対策内容・実施日を合意してください。資料には対策期限や具体的な更新手順は書かれていません。
