ThreatPort
Connexion Inscription
CVE-2020-14144 HIGH

Contrôle d’exposition CVE-2020-14144 pour Gitea

Vérifiez si des actifs publics exposent des signaux Gitea Gitea liés à CVE-2020-14144. Sévérité : HIGH.

Lancer un scan gratuit Voir le tarif à $50

From CVE record to external exposure

The git hook feature in Gitea 1.1.0 through 1.12.5 might allow for authenticated remote code execution in customer environments where the documentation was not understood (e.g., one viewpoint is that the dangerousness of this feature should be documented immediately above the ENABLE_GIT_HOOKS line in the config file). NOTE: The vendor has indicated this is not a vulnerability and states "This is a functionality of the software that is limited to a very limited subset of accounts. If you give someone the privilege to execute arbitrary code on your server, they can execute arbitrary code on your server. We provide very clear warnings to users around this functionality and what it provides.

Gitea vulnerability doit être priorisée en reliant le fournisseur et le produit affectés à des actifs réellement exposés sur Internet. ThreatPort se concentre sur la première question des responsables IT et CISOs au budget limité : que voit un observateur externe aujourd’hui, quel est le niveau de gravité, et que faut-il corriger en premier ?

Historique d'exploitation connue

Usage connu par des rançongiciels
Non renseigné
Probabilité d'exploitation EPSS
95.43% (100p)
Score de base CVSS
7.2 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H)
Divulgué
2020-10-16
Type de faiblesse
CWE-78

Source : catalogue CISA Known Exploited Vulnerabilities et EPSS de FIRST.org.

Ce que ThreatPort vérifie

Identifie les services publics liés à Gitea Gitea.
Relie les technologies détectées à CVE-2020-14144, au contexte de sévérité et à la priorité de remédiation.
Vérifie TLS, DNS, headers, panels exposés, endpoints anciens et fingerprints de service depuis l’extérieur.
Produit d’abord une scorecard concise puis des preuves de pentest IA et un reporting PDF.

Le résultat est volontairement pratique : indices de propriété, contexte de risque, pistes de remédiation et preuves répétables partageables avec les équipes techniques ou la direction. Ce n’est pas présenté comme une automatisation magique de conformité ni comme un substitut au jugement humain en sécurité.

Pour cette route, ThreatPort traite l’intention de recherche comme un contexte opérationnel précis plutôt qu’une page générique. Catégorie, audience, technologie, secteur et région sont combinés afin que le visiteur juge rapidement si le scan correspond à son environnement.

Profil de preuves propre à cette route

CVE-2020-14144 affects Gitea, a CWE-78 weakness. Disclosed 2020-10-16. This page exists to answer one question: is anything you own externally reachable and running it.

Actifs que cette page doit prioriser

Domaines et sous-domaines Points de terminaison cloud Portails clients Services API Enregistrements TLS et DNS Contrôles de sécurité e-mail

Signaux à prioriser

Sous-domaines oubliés
Configuration TLS faible
Services de staging ouverts
DMARC non appliqué
Services obsolètes
Technologies liées à des CVE

Que faut-il examiner en premier dans ce contexte ?

Pour les équipes qui utilisent Gitea, la première étape est de valider les actifs accessibles publiquement et réellement liés au métier, plutôt que de produire une liste générique de vulnérabilités.

Sous-domaines oubliés
Configuration TLS faible
Services de staging ouverts
DMARC non appliqué

Liste d’actions

  1. Confirmez si Gitea est présent sur un domaine, sous-domaine, API ou panneau public.
  2. Priorisez l’exposition HIGH seulement si le service affecté est joignable ou critique métier.
  3. Patchez, désactivez, isolez ou placez des contrôles compensatoires devant le service affecté.
  4. Relancez un scan après correction pour capturer une preuve avant/après.

Prochaines corrections selon le contexte

  1. Vérifier la propriété des actifs exposés
  2. Fermer les services publics inutiles
  3. Nettoyer les enregistrements DNS
  4. Réduire les règles d’accès
  5. Relancer le scan des constats fiables

Les preuves utiles dans ce contexte se rattachent généralement à ISO 27001, SOC 2, vendor security reviews. ThreatPort reste prudent : il s’agit de preuves opérationnelles de sécurité, pas d’une certification juridique ni d’une garantie d’acceptation par un auditeur.