CVE-2026-20896 披露后13天

概览

据Sysdig说,据观察,威胁行为者试图利用Gitea Docker图像中最近出现的关键安全缺陷。 脆弱性被跟踪为CVE-2026-20896(CVSS分数:9.8),来源于DevOps平台信任来自任何源IP地址的X-WEBAUTH-USER头条,实际上允许一个未经认证的互联网客户端获得更高的访问权限.

技术细节

安全研究员阿里·穆斯塔法(@rz1027)发现并报告了缺陷,他解释说Gitea Docker图像发送了一个app.ini模板,其中硬码默认为REVERSE PROXY TRUSTED PROXIES=Q/code>。 文件的安全值为127.0.0.0/8,:1/128,意思是只信任本地主机. 然而,官方的Docker图像使用通配符,有效禁用许可列表检查.

当一个管理员启用 enable REVERSE PROXY AUTHENTICATION = true 并在默认情况下离开可信任的代理设置时,任何可以直接到达Gitea容器的HTTP端口的进程都可以通过发送一个标题来冒充任何用户. 管理者账户是明显的目标。 在启用自动注册后,攻击者也可以创建新的特权账户.

Wild

Sysdig中的剥削在公开披露13天后检测到了第一次在野外开采的尝试. 初始活动源于一个质子VPN出口节点(IP:159.26.98[.]241),并涉及侦察扫描. Sysdig威胁研究高级主管Michael Clark表示:「到目前为止, 活动与威胁行动方的初步调查有关。 虽然我们从质子VPN服务中看到一个IP的第一个动作,但至今还没有进展到任何开发或攻击进展".

受影响的版本和补丁

脆弱性影响着Gitea Docker图像版本在1.26.2之前并包括其中. 已在2026年6月21日发布的1.26.3版本中处理. 固定符去除通配符,使反向代理认证选择进入.

Mitigation

Organization

Organization 应立即升级至Gitea 1.26.3或稍后. 管理员必须明确设置 REVERSE PROXY TRUSTED PROXIES为 127.0.0/8,::1/128,并禁用 ENBEL REVERSE PROXY AUTHENTICATION,除非绝对必要. 网络级别控制应当将进入Gitea HTTP 端口仅限于经授权的反向代理. 还建议对未经授权的-WEBAUTH-USER标题使用的审计日志。