Gitea unter Angriff: Docker-Image-Sicherheitsanfälligkeit ermöglicht Admin-Zugriff mit einem einzigen HTTP-Header
Sysdig hat den ersten Versuch einer Ausnutzung 13 Tage nach dem Patch gegen 6.200 exponierte Instanzen entdeckt. Der Fehler stammt aus einer Zeile der app.ini, die jeder IP vertraut.
Das Cloud-Sicherheitsunternehmen Sysdig hat am Dienstag angekündigt, dass es den ersten realen Versuch zur Ausnutzung der CVE-2026-20896, einer Sicherheitsanfälligkeit mit einem CVSS von 9.8 bezüglich der Authentifizierung durch den Umgehungsfehler in den Docker-Images von Gitea, entdeckt hat. Der Versuch kam von einer Adresse von ProtonVPN (159.26.98.241) und fand 13 Tage nach der Veröffentlichung der Version 1.26.3 statt, die das Problem am 20. Juni behoben hat. Es gibt etwa 6.200 Gitea-Instanzen, die dem Internet ausgesetzt sind, darunter selbstgehostete Server von Engineering-Teams und interne Implementierungen von Unternehmen, die aus Compliance-Gründen Quellcode außerhalb von GitHub bevorzugen.
Die Ursache des Problems liegt in zwei Zeilen der app.ini-Datei, die das Standard-Docker-Image von Gitea vertreibt. Die Konfiguration REVERSE_PROXY_TRUSTED_PROXIES war mit dem Wildcard-Zeichen asterisk markiert, was den Dienst dazu brachte, dem HTTP-Header X-WEBAUTH-USER von jeder IP-Adresse zu vertrauen. Ein Client ohne Anmeldeinformationen, der den öffentlichen Port des Containers erreichen kann, sendet diesen Header mit einem administrativen Benutzernamen und erhält eine Admin-Session. Ali Mustafa, ein Forscher, der als rz1027 подписан hat, entdeckte und meldete die Sicherheitsanfälligkeit; die Korrektur entfernte das Wildcard-Zeichen aus der Standardeinstellung und machte die Authentifizierung durch einen Reverse-Proxy zu einer expliziten Opt-in-Konfiguration.
Was Sysdig gesehen hat
Michael Clark, Senior Director of Threat Research bei Sysdig, sagte in einer Erklärung, dass die bisher beobachtete Aktivität sich in der Anfangsphase der Ermittlungen des Angreifers befindet und nicht zu lateralem Bewegungen oder zur Installation von Payloads übergegangen ist. "Wir glauben, dass wir dies frühzeitig erkannt haben, bevor es die Chance hatte, über diese Phase hinauszugehen," erklärte Clark. Dies ist von Bedeutung, da Gitea, im Gegensatz zu verwalteten Code-Managern, typischerweise in Netzwerksegmenten arbeitet, die Secrets, SSH-Keys und CI-Pipelines beherbergen, die mit der Produktion kommunizieren.
Das stille Fenster zwischen dem Patch vom 20. Juni und der ersten Ausnutzung am 3. Juli ist typisch für das Muster, das Sysdig und andere Forscher 2026 zu kartieren begonnen haben: Angreifer warten, bis sich der Staub gelegt hat, extrahieren Details des Commits, der den Fehler behoben hat, und starten eine großangelegte Scans, sobald die meisten Betreiber davon ausgehen, dass die Ernte vorbei ist. Cyberdaily schätzte, dass weniger als die Hälfte der exponierten Gitea-Container bis Anfang dieser Woche auf 1.26.3 aktualisiert wurde.
Wo das Problem zuschlägt: Vereinigte Staaten, Deutschland und China
Die installierte Basis von Gitea konzentriert sich auf drei verschiedene geografische Regionen. In den Vereinigten Staaten betreiben DevOps-Teams von Start-ups und Plattformbereichen, die aus Kostengründen oder aufgrund von Latenz von GitHub abgewichen sind, Gitea in privaten Clouds. In Deutschland und dem restlichen Euroraum ist Gitea die bevorzugte Wahl für Unternehmen, die ihren Quellcode innerhalb geografischer Grenzen unter dem GDPR aufbewahren müssen, einschließlich Ingenieureinheiten von Automobilherstellern und öffentlichen Integratoren. In China, wo Zugangs-Restriktionen zu GitHub und lokale Datenschutzrichtlinien die Community zu offenen Forks gedrängt haben, hat Gitea an Schwung bei regionalen Banken, Universitäten und staatlichen Institutionen gewonnen; Gitee, ein chinesischer Fork des Projekts, erbt denselben Code und könnte das Problem in veralteten Versionen teilen.
In den USA ist das unmittelbare Risiko der Diebstahl von Secrets und die Entführung von CI-Pipelines, was in der Regel innerhalb weniger Stunden zu einem Zugang zur Produktion führt. In Europa neigt die Verwirklichung des Risikos dazu, durch die Datenschutzbehörde erkannt zu werden: Ein Eindringling, der als Admin in ein Unternehmens-Git eintritt, verursacht ein Ereignis, das innerhalb von 72 Stunden eine Pflichtbenachrichtigung gemäß GDPR auslöst. In Asien, wo viele Installationen noch Versionen vor 1.24 ohne regelmäßige Patch-Prozesse ausführen, kann der Vektor wochenlang offen bleiben, bevor irgendeine Untersuchung erfolgt.
Was jetzt zu tun ist
Administrator sollten zunächst die laufende Version bestätigen. Ab Version 1.26.3 hat sich das Standardverhalten geändert: REVERSE_PROXY_TRUSTED_PROXIES wird nicht mehr mit einem Asterisk geliefert, sondern in eine explizite Liste umgewandelt. Wer Gitea hinter einem legitimen Reverse-Proxy betrieben hat, muss die vertrauenswürdigen IPs manuell zurücksetzen. Wer herausfindet, dass der Dienst nie eine Authentifizierung durch einen Reverse-Proxy benötigte, kann diese Funktion einfach abschalten.
Sysdig empfiehlt auch, die Protokolle nach Anfragen mit dem Header X-WEBAUTH-USER von außerhalb des internen Netzwerks zu überprüfen und herauszufinden, welche Deploy-Keys und CI-Tokens in den letzten 20 Tagen zugegriffen wurden. In Umgebungen, in denen Gitea Secrets von Pipelines speichert, kostet die präventive Rotation von Anmeldeinformationen weniger als die Nachverfolgung eines bestätigten Vorfalls. Die Version 1.26.3 ist bereits seit mehr als zwei Wochen verfügbar. Die verbleibende Frage ist, ob der nächste Bericht über den angewandten Patch oder über die Reaktion auf einen Vorfall sein wird.