黑客利用 Gitea Docker 镜像中的严重认证绕过漏洞

导语：Sysdig 安全研究人员警告，黑客正在野外积极利用 Gitea 官方 Docker 镜像中的一个严重身份认证绕过漏洞（CVE-2026-20896），该漏洞在默认配置下允许未经认证的攻击者冒充任意用户，包括管理员。

黑客正在积极利用 Gitea 自托管 Git 服务官方 Docker 镜像中的一个严重漏洞，该漏洞允许攻击者冒充包括管理员在内的任意用户身份。

该安全缺陷是一个认证绕过漏洞，被追踪为 CVE-2026-20896，影响使用默认配置的部署，即启用了 X-WEBAUTH-USER 等反向代理认证头的环境。Sysdig 的首席安全研究员 Michael Clark 证实，漏洞的野外利用行为是在该漏洞被公开披露前不到两周开始的。

目前，互联网上约有 6,200 个 Gitea 实例对外开放，但其中究竟有多少受到漏洞影响尚不清楚。Clark 警告称："Gitea 的官方 Docker 镜像出厂配置为 `REVERSE_PROXY_TRUSTED_PROXIES=*`。在启用反向代理认证的情况下，Gitea 会信任来自任何源 IP 的 `X-WEBAUTH-USER` 请求头，因此未经认证的互联网客户端就可以声称为任意用户。"

他进一步补充道："无需密码，无需令牌，仅需一个请求头。Sysdig 传感器在安全公告发布后第 13 天捕获了首次野外攻击事件，一个 VPN 出口扫描器成功获取了访问权限。"

Gitea 是一个开源的自托管 GitHub 和 GitLab 替代方案，用于存储源代码、管理拉取请求、协作、部署以及执行 CI/CD 操作。Gitea 的官方 Docker 镜像将反向代理认证配置为信任来自任何客户端 IP 地址的身份头，而不仅仅限于受信任的反向代理，从而允许未经认证的攻击者冒充任意用户。

CVE-2026-20896 这一严重缺陷影响默认配置下官方 Gitea Docker 镜像直至 1.26.2 版本的部署。维护者分享了复现步骤，并警告称："任何能够直接访问 Gitea 容器 HTTP 端口（而非通过预期的认证代理）的进程，都可以冒充任何登录名已知或可猜测的用户。管理员账户（如 admin、gitea_admin 等）显然是首要目标。"