Segnalato lo sfruttamento attivo di una falla critica nell’autenticazione di Gitea

I ricercatori di sicurezza affermano che gli aggressori stanno già sfruttando una vulnerabilità critica in Gitea, che può consentire di aggirare l’autenticazione nelle istanze esposte e accedere a repository privati e credenziali sensibili.

La falla, identificata come CVE-2026-20896, interessa le immagini Docker ufficiali di Gitea precedenti alla versione 1.26.3 e ha ottenuto un punteggio CVSS di 9.8. Secondo i ricercatori, il problema deriva dal modo in cui l’autenticazione tramite reverse proxy era configurata per impostazione predefinita. Nelle distribuzioni interessate, Gitea accettava il traffico proveniente da qualsiasi indirizzo IP invece di limitare la fiducia a una allowlist di proxy, creando una possibilità di abuso se il servizio era raggiungibile direttamente.

In pratica, un aggressore che conosca o riesca a indovinare un nome utente valido potrebbe inviare una singola intestazione HTTP e impersonare quell’utente. Michael Clark, ricercatore di Sysdig, ha dichiarato che i dati telemetrici hanno mostrato il primo tentativo di sfruttamento osservato 13 giorni dopo la divulgazione pubblica della vulnerabilità e che sembrava provenire da uno scanner che utilizzava un nodo di uscita VPN.

Ali Mustafa, che ha scoperto il problema, ha spiegato che l’autenticazione tramite reverse proxy dovrebbe basarsi sulle intestazioni aggiunte dal proxy attendibile. Poiché la configurazione interessata considerava attendibili le richieste in modo troppo ampio, una connessione diretta alla porta HTTP del container Gitea poteva consentire a un aggressore di accedere come un altro utente senza password o token.

Perché è importante

Se portato a termine con successo, l’attacco potrebbe esporre o modificare un’ampia gamma di risorse di sviluppo, tra cui:

• Repository di codice privati e pubblici
• Segreti inseriti accidentalmente nel codice, come chiavi API e credenziali di database
• File di configurazione CI/CD
• Chiavi di distribuzione e altri elementi per l’accesso

I ricercatori hanno dichiarato di aver individuato circa 6.200 istanze di Gitea raggiungibili da Internet, anche se non tutte sono necessariamente vulnerabili. Agli amministratori viene chiesto di applicare rapidamente le patch, poiché la compromissione di un server Gitea può garantire a un intruso un ampio accesso al codice e ai segreti archiviati sulla piattaforma.

Le versioni 1.26.3 e 1.26.4 di Gitea modificano il comportamento, richiedendo l’abilitazione esplicita dell’autenticazione tramite reverse proxy. Fino all’aggiornamento dei sistemi, alle organizzazioni viene consigliato di limitare l’esposizione dei servizi Gitea e assicurarsi che solo il proxy previsto possa comunicare con l’applicazione.