Gitea 28.2 es la segunda actualización de mantenimiento de la serie 28.x y se centra en resolver fallos de seguridad y en pulir comportamientos funcionales que afectan a repositorios, autenticación y flujos de integración continua.
Qué vulnerabilidades se corrigen y por qué importan
Los desarrolladores han divulgado doce fallos en total y han corregido nueve en esta versión; los tres restantes ya se habían parcheado en lanzamientos anteriores y se han hecho públicos ahora. Entre las correcciones más críticas destacan problemas en la autenticación SSH y en el uso de OpenID:
- Problema en la validación de certificados SSH: una falla en cómo Gitea validaba los “principals” de certificados permitía, en ciertas configuraciones, que un atacante se autentique como otro usuario al casar mal los valores del certificado con las claves públicas almacenadas.
- Vulnerabilidad en OpenID: se cerró un vector donde un atacante podía asociar su identidad OpenID a la cuenta de otro usuario y luego iniciar sesión como ese usuario. La solución obliga ahora a usar un parámetro de estado (state) de corta duración y vinculado al usuario durante el proceso de asociación.
- Exposición de adjuntos en repositorios privados: se solucionó un fallo por el cual archivos adjuntos de repositorios privados podían quedar accesibles a través de la funcionalidad de borradores de releases.
Otras correcciones de seguridad abordan interacciones no autorizadas con issues bloqueadas, permisos incorrectos en adjuntos y un CSRF que afectaba a los temas (topics) del repositorio.
Impacto en Actions, rendimiento y límites
En el ámbito de Actions, Gitea 28.2 corrige un problema de denegación de servicio en la API de artefactos v4: solicitudes sin límite de tamaño podían agotar la memoria del servidor. Para mitigar esto, los cuerpos de las peticiones ahora tienen un límite de 1 MiB. Además, se han corregido estados y comportamientos:
- Workflows reutilizables cancelados ya no permanecen indefinidamente en estado “canceling”.
- Los workflows programados respetan correctamente los cambios en la rama por defecto.
- Se han pulido errores en el parsing de YAML de workflows.
Correcciones funcionales relevantes para administradores
La actualización también incluye mejoras prácticas en la experiencia con pull requests y repositorios:
- Se evita que pull requests vacíos aparezcan marcados erróneamente como “merged”.
- Los comentarios de revisión muestran ahora el contexto de código correcto.
- Los nombres de archivo con caracteres no ASCII se muestran bien en el árbol de diffs.
- Se restauró compatibilidad con URLs antiguas de paquetes npm en tarballs y se mejoró la autenticación WebAuthn para clientes WebKit.
- Se han prevenido errores en servicios de notificación que podían provocar caídas del proceso de Gitea.
Qué deben hacer los administradores y responsables de sitios
Dada la naturaleza de las correcciones —autenticación, exposición de archivos y denegación de servicio— se recomienda actualizar las instalaciones autohospedadas a Gitea 28.2 lo antes posible. Los pasos prácticos son:
- Planificar una ventana de mantenimiento y realizar una copia de seguridad completa del repositorio y de la base de datos.
- Aplicar la actualización siguiendo la documentación oficial de despliegue de Gitea para el método usado (binario, contenedor, paquete del sistema, etc.).
- Revisar las configuraciones de autenticación (SSH y OpenID) y comprobar logs de seguridad tras la actualización en busca de intentos de explotación previos.
- Verificar los límites y comportamientos de Actions en entornos de CI para evitar interrupciones por cambios en la API de artefactos.
Conclusión
Gitea 28.2 aborda vulnerabilidades que pueden tener impacto directo en la seguridad de cuentas, la confidencialidad de repositorios privados y la estabilidad del servidor CI. Los administradores de instancias autohospedadas deben priorizar la actualización y revisar las configuraciones de autenticación y permisos tras el despliegue.
Lee también:
- GL.iNet Comet Q: un KVM remoto USB-C que integra Tailscale y pantalla táctil
- Gitea 28.2.0 publicado: correcciones de seguridad y fallos que afectan a Actions y autenticación
Fuente: Linuxiac
