Gitea: ברירת מחדל ב-Docker מאפשרת להתחזות לכל משתמש, והפרצה מנוצלת
בתמונת Docker הרשמית של Gitea עד 1.26.2, כותרת HTTP אחת מספיקה כדי להיכנס כמנהל בלי סיסמה, כשהאימות דרך reverse proxy פעיל. Sysdig תיעדה ניצול בשטח.
TL;DR בקצרה
- CVE-2026-20896 מדורגת 9.8 ב-CVSS ופוגעת בתמונות Docker הרשמיות של Gitea עד גרסה 1.26.2.
- הפרצה חלה כשהאימות דרך reverse proxy פעיל: התמונה מקבלת את הכותרת X-WEBAUTH-USER מכל כתובת IP.
- לפי Sysdig, הניצול החל פחות משבועיים לפני הפרסום הציבורי. כ-6,200 שרתי Gitea חשופים באינטרנט.
- התיקון ב-1.26.3, ו-Gitea ממליצה לעלות ישר ל-1.26.4. עקיפה: הגבלת REVERSE_PROXY_TRUSTED_PROXIES.
בתמונת Docker הרשמית של Gitea, עד גרסה 1.26.2, יש ברירת מחדל שמאפשרת להתחזות לכל משתמש בלי סיסמה. גם למנהל. החולשה, CVE-2026-20896, מדורגת 9.8 ב-CVSS. לפי BleepingComputer, תוקפים כבר מנצלים אותה.
הפרצה חלה רק כשמנהל הפעיל אימות דרך reverse proxy. במצב הזה Gitea סומכת על כותרת HTTP בשם X-WEBAUTH-USER ומזהה את המשתמש לפיה. הבעיה היא שהתמונה הרשמית מקבלת את הכותרת מכל כתובת IP.
איך כותרת אחת הופכת לכניסה בלי סיסמה ב-Gitea
Gitea היא פלטפורמת Git שמארחים בעצמכם. בהגדרה נפוצה, שער כניסה לפני האפליקציה מזהה את המשתמש ומעביר את שמו בכותרת. כדי שזה יהיה בטוח, האפליקציה חייבת לקבל את הכותרת רק מהשער. אחרת כל אחד יכול לכתוב כותרת כזאת בעצמו.
בתיעוד של Gitea ברירת המחדל מגבילה את זה לכתובות מקומיות בלבד. אבל התבנית של app.ini בתמונות ה-Docker, כולל גרסת rootless, קבעה REVERSE_PROXY_TRUSTED_PROXIES = *. כלומר, סומכים על כל מקור.
לפי ההתראה הרשמית, כל מי שמגיע ישירות לפורט ה-HTTP של הקונטיינר יכול להיכנס כמשתמש ששמו ידוע או קל לנחש. אם ההרשמה האוטומטית פעילה, הוא יכול גם ליצור חשבונות בשמות שרירותיים. BleepingComputer מציין שמנהלים כמו admin ו-gitea_admin הם היעד הברור.
התקנות מקובץ בינארי ובנייה עצמית אינן פגיעות, כל עוד הן פועלות לפי app.example.ini. כך כתוב בהתראה. הבעיה היא בהגדרת ברירת המחדל של התמונה הרשמית.
מהפרסום לניצול: מה ידוע על התקיפות
Gitea פרסמה את גרסאות 1.26.3 ו-1.26.4 ב-20 וב-21 ביוני 2026. ההתראה הרשמית יצאה ב-21 ביוני. לפי BleepingComputer, חיישני Sysdig קלטו את הפגיעה הראשונה בשטח 13 ימים אחרי ההתראה. היא הגיעה מסורק שפועל מיציאת VPN, והצליח להיכנס.
Michael Clark מ-Sysdig אמר שהניצול החל פחות משבועיים לפני הפרסום הציבורי. ב-8 ביולי הוציאה גם הרשות לאבטחת סייבר של סינגפור, CSA, התראה שמזהירה שהחולשה מנוצלת בפועל.
לפי BleepingComputer, כ-6,200 שרתי Gitea חשופים באינטרנט. לא ברור כמה מהם פגיעים, כי זה תלוי בגרסה ובהפעלת האימות דרך reverse proxy.
הניצול פשוט. אין צורך בקוד תקיפה מתוחכם, ובקשה אחת עם כותרת מתאימה מספיקה. לכן סורקים אוטומטיים יכולים להפעיל אותו בקלות על כל שרת חשוף. מנהל של Gitea יכול לקרוא קוד מקור, לשנות מאגרים ולהגיע לחיבורים לשרתי בנייה. בצוותי פיתוח זה אומר שפרצה אחת משפיעה על כל הארגון.
Gitea: מה מתקנים ואיך בודקים
גרסה 1.26.3 הפכה את האימות דרך reverse proxy לאפשרות שהמנהל צריך להפעיל בעצמו. לפי הבלוג של Gitea, כדאי לעלות ישר ל-1.26.4. היא מתקנת גם תקלה ש-1.26.3 יצרה, ובעיה ב-OAuth2 שהפעילה מחדש משתמשים מושבתים בזמן כניסה.
הגרסה 1.26.3 סגרה עוד חולשות. בהן SSRF דרך webhooks והעברות מאגרים, CVE-2026-22874. לכן העדכון חשוב גם לשרתים שלא משתמשים באימות דרך reverse proxy.
מה זה אומר עבורכם
- אתרו את ההתקנה: בדקו אם הארגון מריץ Gitea בתוך Docker, ובאיזו גרסה. גרסה 1.26.2 ומטה בתמונה הרשמית פגיעה, אם האימות דרך reverse proxy פעיל.
- בדקו את שיטת הכניסה: אם לא הפעלתם אימות דרך reverse proxy, החולשה לא חלה עליכם. עדיין כדאי לעדכן.
- עדכנו: עברו ל-1.26.4 או לגרסה חדשה ממנה, לפי ההמלצה של Gitea.
- אם אי אפשר לעדכן מיד: הגבילו את
REVERSE_PROXY_TRUSTED_PROXIESלכתובות של ה-proxy בלבד. אל תחשפו את פורט הקונטיינר ישירות לאינטרנט. - בדקו יומני גישה: חפשו כניסות של מנהלים מכתובות לא מוכרות ומשתמשים חדשים. אם יש חשד, החליפו מפתחות SSH, טוקנים וסודות CI שמאוחסנים ב-Gitea.
מקורות והרחבה
- Hackers exploit critical auth bypass in Gitea Docker imageBleepingComputer
- Gitea Docker image: REVERSE_PROXY_TRUSTED_PROXIES = * default lets any source IP impersonate any user via X-WEBAUTH-USER (GHSA-f75j-4cw6-rmx4)GitHub Security Advisories
- Release of 1.26.3 and 1.26.4Gitea
- Critical Vulnerability in Gitea Docker (AL-2026-083)Cyber Security Agency of Singapore
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
