Bedrohungsakteure beginnen kurz nach der Veröffentlichung mit der Suche nach der Gitea-Docker-Schwachstelle CVE-2026-20896

Sicherheitsforscher berichten, dass Angreifer bereits nach exponierten Gitea-Instanzen suchen, die für eine kritische Schwachstelle in den Docker-Images der Plattform anfällig sind – knapp zwei Wochen nachdem das Problem öffentlich gemacht wurde.

Der als CVE-2026-20896 erfasste und auf der CVSS-Skala mit 9,8 bewertete Fehler betrifft Gitea-Docker-Builds, die bis einschließlich Version 1.26.2 veröffentlicht wurden. Laut Sicherheitswarnung liegt das Problem in den Authentifizierungseinstellungen für Reverse-Proxys, die missbraucht werden können, wenn der Dienst dem Header X-WEBAUTH-USER aus einer nicht vertrauenswürdigen Quelle vertraut.

Ali Mustafa, der als Entdecker des Problems gilt, erklärte, dass das Docker-Image mit einer app.ini-Vorlage ausgeliefert wurde, in der REVERSE_PROXY_TRUSTED_PROXIES standardmäßig auf einen Wildcard-Wert gesetzt war. In der Praxis bedeutet das, dass jeder Client, der die Anwendung direkt erreichen kann, sich potenziell durch das Senden eines manipulierten Headers als Benutzer ausgeben kann. Ist die Selbstregistrierung aktiviert, kann ein Angreifer, der einen Benutzernamen mit Administratorrechten für sich beansprucht, möglicherweise sogar erweiterte Zugriffsrechte erlangen.

Die dokumentierte sichere Konfiguration von Gitea beschränkt vertrauenswürdige Proxys auf Localhost-Adressen, doch das Docker-Image folgte dieser Empfehlung nicht. Der Hersteller behob das Problem in der Ende des vergangenen Monats veröffentlichten Version 1.26.3, indem er den standardmäßigen Wildcard-Wert entfernte und die Authentifizierung über einen Reverse-Proxy zu einer ausdrücklich zu treffenden Auswahl machte.

Das Cloud-Sicherheitsunternehmen Sysdig berichtete, dass es 13 Tage nach der Veröffentlichung die erste mit dieser Schwachstelle verbundene Anfrage beobachtet habe. Die Aktivität schien eher eine Aufklärungsphase als einen vollständigen Eindringversuch darzustellen. Sysdig zufolge stammte die Anfrage von einer IP-Adresse, die dem Dienst ProtonVPN zugeordnet ist. Das Unternehmen merkte an, dass sich das Verhalten zu diesem Zeitpunkt noch nicht zu einem Ausnutzungsversuch weiterentwickelt hatte.

Was Unternehmen wissen sollten

• Gitea-Docker-Images bis einschließlich Version 1.26.2 sind betroffen.
• Ins Internet exponierte Instanzen könnten einem höheren Risiko ausgesetzt sein.
• Administratoren sollten so bald wie möglich auf Version 1.26.3 oder höher aktualisieren.
• Teams, die eine Authentifizierung über einen Reverse-Proxy einsetzen, sollten die Einstellungen für vertrauenswürdige Proxys und die Zugriffswege überprüfen.

Forscher schätzen, dass es etwa 6.200 aus dem Internet erreichbare Gitea-Instanzen gibt. Dies unterstreicht die Notwendigkeit einer schnellen Aktualisierung und einer Überprüfung der Konfiguration.