Aktive Ausnutzung einer kritischen Authentifizierungsschwachstelle in Gitea gemeldet

Sicherheitsforscher berichten, dass Angreifer bereits eine kritische Schwachstelle in Gitea ausnutzen, mit der sie die Authentifizierung auf exponierten Instanzen umgehen und auf private Repositories sowie vertrauliche Zugangsdaten zugreifen können.

Die als CVE-2026-20896 geführte Schwachstelle betrifft die offiziellen Docker-Images von Gitea vor Version 1.26.3 und weist einen CVSS-Score von 9,8 auf. Nach Angaben der Forscher liegt die Ursache in der standardmäßigen Konfiguration der Authentifizierung über einen Reverse-Proxy. In betroffenen Bereitstellungen akzeptierte Gitea Datenverkehr von beliebigen Quell-IP-Adressen, anstatt das Vertrauen auf eine Positivliste für Proxy-Server zu beschränken. Dadurch entstand eine Möglichkeit für Missbrauch, wenn der Dienst direkt erreichbar war.

In der Praxis kann ein Angreifer, der einen gültigen Benutzernamen kennt oder erraten kann, möglicherweise einen einzigen HTTP-Header senden und sich als dieser Benutzer ausgeben. Michael Clark, Forscher bei Sysdig, erklärte, dass die Telemetriedaten zeigten, dass der erste beobachtete Ausnutzungsversuch 13 Tage nach der öffentlichen Bekanntgabe der Schwachstelle erfolgte und offenbar von einem Scanner über einen VPN-Ausgangsknoten stammte.

Ali Mustafa, der das Problem entdeckt hat, erklärte, dass die Authentifizierung über einen Reverse-Proxy auf Headern basieren soll, die vom vertrauenswürdigen Proxy hinzugefügt werden. Da die betroffene Konfiguration Anfragen zu weitgehend vertraute, konnte eine direkte Verbindung zum HTTP-Port des Gitea-Containers einem Angreifer ermöglichen, sich ohne Passwort oder Token als ein anderer Benutzer anzumelden.

Warum das wichtig ist

Bei einem erfolgreichen Angriff könnte eine große Bandbreite an Entwicklungsressourcen offengelegt oder verändert werden, darunter:

• Private und öffentliche Quellcode-Repositories
• Versehentlich übermittelte Geheimnisse wie API-Schlüssel und Datenbankzugangsdaten
• CI/CD-Konfigurationsdateien
• Deployment-Schlüssel und andere Zugangsdaten

Die Forscher erklärten, sie hätten rund 6.200 Gitea-Instanzen identifiziert, die aus dem Internet erreichbar waren, wobei nicht alle davon zwangsläufig verwundbar sind. Administratoren werden dringend aufgefordert, schnell zu patchen, da die Kompromittierung eines Gitea-Servers einem Eindringling weitreichenden Zugriff auf den in der Plattform gespeicherten Code und auf Geheimnisse ermöglichen kann.

Die Gitea-Versionen 1.26.3 und 1.26.4 ändern das Verhalten dahingehend, dass die Authentifizierung über einen Reverse-Proxy ausdrücklich aktiviert werden muss. Bis zur Aktualisierung der Systeme wird Organisationen empfohlen, die Erreichbarkeit der Gitea-Dienste einzuschränken und sicherzustellen, dass nur der vorgesehene Proxy mit der Anwendung kommunizieren kann.