Threat Actors Probe Gitea Docker Flaw CVE-2026-20896 13 Tage nach der Offenlegung
Eine kritische Authentifizierungs-Bypass-Schwachstelle (CVE-2026-20896, CVSS 9.8) in Gitea Docker-Bilder werden nur 13 Tage nach der Veröffentlichung von Bedrohungsakteuren aktiv untersucht. Der Fehler ermöglicht es nicht authentifizierten Angreifern, sich über einen gestalteten HTTP-Header als Benutzer auszugeben.
Übersicht
Laut Sysdig wurden Bedrohungsakteure beobachtet, die versuchten, einen kürzlich gepatchten kritischen Sicherheitsfehler in Gitea Docker-Bildern auszunutzen. Die Sicherheitslücke, die als CVE-2026-20896 (CVSS-Score: 9.8) verfolgt wird, stammt von der DevOps-Plattform, die dem X-WEBAUTH-USER-Header von jeder Quell-IP-Adresse vertraut und es einem nicht authentifizierten Internet-Client ermöglicht, einen erhöhten Zugriff zu erhalten.
Technical Details
Sicherheitsforscher Ali Mustafa (@rz1027), der den Fehler entdeckt und gemeldet hat, erklärte, dass Gitea Docker-Bilder eine app.ini-Vorlage liefern, die REVERSE PROXY TRUSTED PROXIES = * standardmäßig fest codiert. Der dokumentierte sichere Wert ist 127.0.0.0/8,::1/128, was bedeutet, dass nur localhost vertrauenswürdig ist. Das offizielle Docker-Bild verwendet jedoch die Platzhalter, wodurch die Überprüfung der Erlaubnisliste effektiv deaktiviert wird.
Wenn ein Administrator ENABLE REVERSE PROXY AUTHENTICATION = true aktiviert und die Einstellung für vertrauenswürdige Proxies standardmäßig verlässt, kann jeder Prozess, der den HTTP-Port des Gitea-Containers direkt erreichen kann, jeden Benutzer imitieren, indem er einen X-WEBAUTH-USER-Header sendet. Admin-Konten sind die offensichtlichen Ziele. Wenn die automatische Registrierung aktiviert ist, können Angreifer auch neue privilegierte Konten erstellen.
Exploitation in the Wild
Sysdig hat den ersten Versuch der wilden Ausbeutung 13 Tage nach der Veröffentlichung entdeckt. Die anfängliche Aktivität stammte von einem ProtonVPN-Ausgangsknoten (IP: 159.26.98[.]241) und beinhaltete Aufklärungsscans. Es gibt etwa 6.200 mit dem Internet verbundene Gitea-Instanzen, die potenziell anfällig sind. Michael Clark, Senior Director of Threat Research bei Sysdig, erklärte: „Bisher standen die Aktivitäten im Zusammenhang mit der ersten Untersuchung durch den Bedrohungsakteur. Während wir die erste Aktion von einer IP vom ProtonVPN-Dienst gesehen haben, ist sie bisher nicht zu irgendeinem Exploitations- oder Angriffsfortschritt fortgeschritten.
Betroffene Versionen und Patch
Die Sicherheitsanfälligkeit betrifft Gitea Docker-Bildversionen vor und einschließlich 1.26.2. Es wurde in der Version 1.26.3 angesprochen, die am 21. Juni 2026 veröffentlicht wurde. Der Fix entfernt die Platzhalter und macht Reverse-Proxy-Authentifizierung opt-in.
Mitigation
Organisationen sollten sofort auf Gitea 1.26.3 oder höher upgraden. Administratoren müssen REVERSE PROXY TRUSTED PROXIES explizit auf 127.0.0.0/8,::1/128 setzen und ENABLE REVERSE PROXY AUTHENTICATION deaktivieren, sofern dies nicht unbedingt erforderlich ist. Steuerungen auf Netzwerkebene sollten den Zugriff auf Gitea HTTP-Ports nur auf autorisierte Reverse Proxies beschränken. Audit Logs für nicht autorisierte X-WEBAUTH-USER Header-Nutzung werden ebenfalls empfohlen.