Криптомайнер на Gitea: 70% нагрузки CPU, RCE в self-hosted Gitea вместо GitLab и как я закрыл уязвимость

[GrimAnEye]

По канону - создаём себе проблемы и героически их решаем.

Автор поднял сервис "домашнего" уровня серьёзности с голой жопой в интернет (с саморегистрацией и без ACL), словил майнера, а потом пошел делать как положено.

[Gobl1n]

Я причём подозреваю, что он не сам поднял (как и не сам написал статью), а попросил агента "сделай, чтобы работало и мне было удобно". И ну и исследовал инцидент и закрывал дыры, судя по всему, тоже агент

[Causelof]

Увы, все прозаичнее. Сам поднял и допустил ошибку, потом разбирался, где именно все "пошло не так". Агент, возможно, сделал бы аккуратнее.

[Causelof]

Согласен полностью, именно это и хотел показать :) Ошибка довольно банальная - отвлекся, временная настройка осталась жить дольше, чем планировалось. Поэтому и разобрал кейс, чтобы следующий человек сразу прошёлся по этим пунктам и не повторял мои же (пусть и банальные) ошибки.

[skymal4ik]

Для чего в небольшой организации светить наружу вебом и оставлять включенной регистрацию?

У самого дома на серваке в виртуалке работает gitea. Но регистрация отключена, и доступ только через vpn.

[Causelof]

Да, для небольшой внутренней Gitea ваш вариант гораздо логичнее: регистрация закрыта, доступ через VPN и наружу ничего лишнего не торчит. В моем случаи банально многозадачность и загруженность помешала доделать.

[Areso]

Тоже словил криптомайнер, хорошо что Gitea стояла в контейнере, и проблема была быстро локализована после обнаружения.
28 июля опубликовали CVE, 30 июля произошло заражение, 4 августа поставили криптомайнер.