Gli attori delle minacce iniziano a cercare la vulnerabilità CVE-2026-20896 di Gitea Docker poco dopo la divulgazione

Secondo i ricercatori di sicurezza, gli aggressori hanno già iniziato a cercare istanze Gitea esposte e vulnerabili a una falla critica nelle immagini Docker della piattaforma, a poco meno di due settimane dalla divulgazione del problema.

Il bug, tracciato come CVE-2026-20896 e valutato 9,8 sulla scala CVSS, riguarda le build Docker di Gitea rilasciate fino alla versione 1.26.2 inclusa. Secondo l’avviso, il problema è legato alle impostazioni di autenticazione del reverse proxy, che possono essere sfruttate quando il servizio considera attendibile l’header X-WEBAUTH-USER proveniente da una fonte non attendibile.

Ali Mustafa, il ricercatore a cui è attribuita la scoperta del problema, ha dichiarato che l’immagine Docker includeva un modello app.ini che impostava REVERSE_PROXY_TRUSTED_PROXIES su un valore jolly per impostazione predefinita. In pratica, ciò significa che qualsiasi client in grado di raggiungere direttamente l’applicazione potrebbe potenzialmente impersonare un utente inviando un header appositamente predisposto. Se è abilitata la registrazione autonoma, un aggressore che rivendichi un nome utente simile a quello di un amministratore potrebbe persino ottenere privilegi elevati.

La configurazione sicura documentata da Gitea limita i proxy attendibili agli indirizzi localhost, ma l’immagine Docker non rispettava questa indicazione. Il produttore del software ha risolto il problema nella versione 1.26.3, rilasciata alla fine del mese scorso, rimuovendo il valore jolly predefinito e rendendo l’autenticazione del reverse proxy una scelta esplicita.

La società di sicurezza cloud Sysdig ha riferito di aver osservato la prima sonda associata a questa vulnerabilità 13 giorni dopo la divulgazione. L’attività sembrava una ricognizione iniziale, piuttosto che un tentativo completo di intrusione. Sysdig ha dichiarato che la richiesta proveniva da un indirizzo IP associato al servizio ProtonVPN e ha osservato che il comportamento non si era ancora evoluto in uno sfruttamento della vulnerabilità.

Cosa devono sapere le organizzazioni

• Le immagini Docker di Gitea fino alla versione 1.26.2 inclusa sono vulnerabili.
• Le istanze esposte a Internet potrebbero essere maggiormente a rischio.
• Gli amministratori dovrebbero eseguire l’aggiornamento alla versione 1.26.3 o successiva il prima possibile.
• I team che utilizzano l’autenticazione tramite reverse proxy dovrebbero verificare le impostazioni dei proxy attendibili e i percorsi di accesso.

I ricercatori stimano che vi siano circa 6.200 istanze Gitea esposte su Internet, sottolineando la necessità di applicare rapidamente le patch e riesaminare la configurazione.