Actores de amenazas Probe Gitea Docker Flaw CVE-2026-20896 13 días después de la revelación
Una vulnerabilidad de bypass de autenticación crítica (CVE-2026-20896, CVSS 9.8) en Gitea Las imágenes de Docker están siendo probadas activamente por actores de la amenaza apenas 13 días después de la divulgación pública. El defecto permite a los atacantes no autenticados imitar a cualquier usuario a través de un encabezado HTTP elaborado.
No. Se ha observado a los actores de la amenaza que intentan explotar un defecto crítico de seguridad recientemente parcheado en imágenes de Gitea Docker, según Sysdig. La vulnerabilidad, rastreada como יstrong confianzaCVE-2026-20896 detectada/fuerte joven (CVSS score: 9.8), deriva de la plataforma DevOps confiando en el código "Educación"X-WEBAUTH-USERSe hizo/código titular de confianza de cualquier dirección IP fuente, permitiendo efectivamente a un cliente de Internet no identificado obtener acceso elevado. El valor seguro documentado es لcode ratio127.0.0.0/8,::1/128 observado/codeilo, que significa que sólo se confía localhost. Sin embargo, la imagen oficial de Docker utiliza el comodín, desactivando efectivamente el cheque permitido. Cuando un administrador permite la configuración de los programas de confianza en su defecto, cualquier proceso que pueda llegar directamente al puerto HTTP del contenedor de Gitea puede impersonar a cualquier usuario enviando un encabezado de códigos identificados con el título de usuario. Las cuentas de Admin son los objetivos obvios. Con la auto-registración activada, los atacantes también pueden crear nuevas cuentas privilegiadas.Seguido/p Confeccionadoh2 confianzaExploitation in the WildSeguido/h2 tituladop ContraseñaSysdig detectó el primer intento de explotación in-the-wild 13 días después de la divulgación pública. La actividad inicial se originó en un nodo de salida ProtonVPN (IP: 159.26.98[.]241) e involucró el escaneo de reconocimiento. Hay aproximadamente 6.200 instancias de Gitea que se enfrentan a Internet potencialmente vulnerables.Seguidamente, el director senior de investigación de amenazas de Sysdig, dijo: "Hasta ahora, las actividades han estado relacionadas con la investigación inicial del actor de la amenaza. Mientras vimos la primera acción de un IP del servicio ProtonVPN, no ha progresado hasta ahora a ningún progreso de explotación o ataque."Seguido/p estrictamente indicah2 títulosAffected Versions and Patch Seguido/h2 confidencialp] La vulnerabilidad afecta a las versiones de imágenes de Gitea Docker antes e incluyendo 1.26.2. Se ha abordado en la versión 1.26.3, publicada el 21 de junio de 2026. La fijación elimina el comodín y hace opt-in de autenticación de proxy inversa.Seguido/p Confeccionadoh2⁄4]Mitigation observado/h2 títulos convenientep conveniente Las organizaciones deben actualizar inmediatamente a Gitea 1.26.3 o posterior. Los administradores deben establecer explícitamente el código de propiedad intelectualREVERSE PROXY TRUSTED PROXIES indicando/codificar instrucciones para codificar título127.0.0.0/8,::1/128 Utilizar/codificar títulos y deshabilitar el código de instrucciones. Los controles a nivel de red deben restringir el acceso a los puertos de Gitea HTTP a los proxies inversos autorizados solamente. También se recomiendan registros de auditoría para el uso de encabezados sin autorización