Злоумышленники атакуют уязвимость Gitea Docker CVE-2026-20896 через 13 дней после раскрытия

Критическая уязвимость обхода аутентификации (CVE-2026-20896, CVSS 9.8) в Docker-образах Gitea активно исследуется злоумышленниками всего через 13 дней после публичного раскрытия. Дефект позволяет неаутентифицированным атакующим выдавать себя за любого пользователя с помощью поддельного HTTP-заголовка.

Обзор

По данным Sysdig, злоумышленники пытаются эксплуатировать недавно исправленную критическую уязвимость в Docker-образах Gitea. Уязвимость, отслеживаемая как CVE-2026-20896 (оценка CVSS 9.8), возникает из-за того, что платформа DevOps доверяет заголовку X-WEBAUTH-USER с любого исходного IP-адреса, что фактически позволяет неаутентифицированному интернет-клиенту получить повышенный доступ.

Технические детали

Исследователь безопасности Али Мустафа (@rz1027), обнаруживший и сообщивший об ошибке, объяснил, что Docker-образы Gitea поставляются с шаблоном app.ini, в котором жестко задано REVERSE_PROXY_TRUSTED_PROXIES = *. Документированное безопасное значение — 127.0.0.0/8,::1/128, то есть доверяется только localhost. Однако официальный Docker-образ использует подстановочный знак, фактически отключая проверку белого списка.

Когда администратор включает ENABLE_REVERSE_PROXY_AUTHENTICATION = true и оставляет настройку доверенных прокси по умолчанию, любой процесс, который может напрямую подключиться к HTTP-порту контейнера Gitea, может выдать себя за любого пользователя, отправив заголовок X-WEBAUTH-USER. Учетные записи администраторов являются очевидными целями. Если включена автоматическая регистрация, атакующие также могут создавать новые привилегированные учетные записи.

Эксплуатация в реальных условиях

Sysdig обнаружила первую попытку эксплуатации в реальных условиях через 13 дней после публичного раскрытия. Первоначальная активность исходила от выходного узла ProtonVPN (IP: 159.26.98[.]241) и включала разведывательное сканирование. Существует около 6200 экземпляров Gitea, доступных через интернет и потенциально уязвимых.

Майкл Кларк, старший директор по исследованию угроз в Sysdig, заявил: «Пока что действия были связаны с первоначальным расследованием злоумышленника. Хотя мы видели первое действие с IP-адреса службы ProtonVPN, оно пока не переросло в какую-либо эксплуатацию или развитие атаки».

Затронутые версии и исправление

Уязвимость затрагивает Docker-образы Gitea версий до 1.26.2 включительно. Она устранена в версии 1.26.3, выпущенной 21 июня 2026 года. Исправление удаляет подстановочный знак и делает аутентификацию через обратный прокси опциональной.

Меры по смягчению

Организациям следует немедленно обновить Gitea до версии 1.26.3 или новее. Администраторы должны явно установить REVERSE_PROXY_TRUSTED_PROXIES в значение 127.0.0.0/8,::1/128 и отключить ENABLE_REVERSE_PROXY_AUTHENTICATION, если это не absolutely необходимо. Сетевые средства контроля должны ограничивать доступ к HTTP-портам Gitea только авторизованными обратными прокси. Также рекомендуется аудит журналов на предмет несанкционированного использования заголовка X-WEBAUTH-USER.