Hackers están explotando activamente una vulnerabilidad crítica en la imagen oficial de Docker para Gitea, un servicio de Git autoalojado, que permite a los atacantes suplantar a cualquier usuario, incluidos los administradores.
La falla de seguridad es una vulnerabilidad de omisión de autenticación, rastreada como CVE-2026-20896, que afecta a implementaciones que utilizan la configuración predeterminada, donde los encabezados de autenticación de proxy inverso como X-WEBAUTH-USER están habilitados.
Michael Clark, investigador principal de seguridad en Sysdig, confirmó que la explotación de la falla comenzó menos de dos semanas antes de que la vulnerabilidad se divulgara públicamente. Actualmente, hay alrededor de 6,200 instancias de Gitea expuestas en la web pública, aunque no está claro cuántas de ellas son vulnerables.
La imagen oficial de Docker de Gitea incluye REVERSE_PROXY_TRUSTED_PROXIES=*. Con la autenticación de proxy inverso habilitada, Gitea confía en el encabezado X-WEBAUTH-USER de cualquier IP de origen, por lo que un cliente de Internet no autenticado se convierte en quien dice ser. Sin contraseña. Sin token. Un solo encabezado. Los sensores de Sysdig detectaron el primer ataque en la naturaleza 13 días después del aviso, un escáner de salida VPN que obtuvo acceso.
Gitea es una alternativa de código abierto autoalojada a GitHub y GitLab, utilizada para almacenar código fuente, gestionar solicitudes de extracción, colaborar, implementar y realizar operaciones CI/CD. La imagen oficial de Docker de Gitea configuró la autenticación de proxy inverso para confiar en los encabezados de identidad de cualquier dirección IP de cliente en lugar de solo de proxies inversos de confianza, lo que permite a atacantes no autenticados suplantar usuarios arbitrarios.
El error crítico CVE-2026-20896 afecta a las imágenes oficiales de Docker de Gitea hasta la versión 1.26.2 inclusive en la configuración predeterminada. El mantenedor compartió los pasos para reproducirlo, advirtiendo que cualquier proceso que pueda alcanzar el puerto HTTP del contenedor de Gitea directamente, sin pasar por el proxy autenticador previsto, puede suplantar a cualquier usuario cuyo nombre de inicio de sesión sea conocido o adivinable. Las cuentas de administrador (admin, gitea_admin, etc.) son los objetivos obvios.
Gitea lanzó las versiones 1.26.3 y 1.26.4 que solucionan CVE-2026-20896 y recomendó a los usuarios actualizar directamente a la versión más reciente, que corrige un problema adicional y una regresión introducida en 1.26.3. La agencia de ciberseguridad de Singapur (CSA) también ha emitido una advertencia sobre CVE-2026-20896 siendo explotado activamente.
Si no es posible actualizar a una versión segura, la CSA recomienda restringir la configuración REVERSE_PROXY_TRUSTED_PROXIES a direcciones IP de confianza específicas en lugar del comodín predeterminado (*). La agencia también recomendó revisar los registros de acceso en busca de actividad sospechosa para determinar si ya se ha producido una compromisión.
Deja una respuesta