ハッカーがGiteaのDockerイメージに存在する重大な認証バイパスを悪用

ハッカーたちは、Giteaのセルフホスト型Gitサービス用の公式Dockerイメージに存在する重大な脆弱性を積極的に悪用しており、これにより攻撃者は管理者を含む任意のユーザーになりすますことが可能となっています。

このセキュリティ上の欠陥は、CVE-2026-20896として追跡されている認証バイパス脆弱性であり、X-WEBAUTH-USERなどのリバースプロキシ認証ヘッダーが有効になっているデフォルト設定での展開に影響を及ぼします。

Sysdigの主任セキュリティ研究者であるマイケル・クラーク氏は、この脆弱性が公開される2週間も経たないうちに、この欠陥を悪用する攻撃が始まっていたことを確認しました。

現在、公開ウェブ上に約6,200のGiteaインスタンスが存在していますが、そのうち何件がこの脆弱性の影響を受けるかは不明です。

「Giteaの公式Dockerイメージには、`REVERSE_PROXY_TRUSTED_PROXIES=*`が設定されています。 リバースプロキシ認証が有効になっている場合、Giteaはどの送信元IPからの`X-WEBAUTH-USER`ヘッダーも信頼してしまうため、認証されていないインターネットクライアントは、自身が主張する任意のユーザーとして振る舞うことができる」とクラーク氏は警告した。

「パスワードもトークンも不要。ヘッダー一つで済む。Sysdigのセンサーは、アドバイザリ発表から13日後に、実際に悪用された最初の事例を検知した。それは、VPNの出口でスキャンを行い、アクセス権を奪ったものだった。」

Giteaは、GitHubやGitLabに代わるオープンソースのセルフホスト型プラットフォームであり、ソースコードの保存、プルリクエストの管理、共同作業、デプロイ、CI/CD操作の実施に使用されます。

Giteaの公式Dockerイメージでは、リバースプロキシ認証の設定が、信頼されたリバースプロキシからのものだけでなく、あらゆるクライアントIPアドレスからのIDヘッダーを信頼するように構成されていたため、認証されていない攻撃者が任意のユーザーになりすますことが可能になっていた。

CVE-2026-20896と名付けられたこの重大な脆弱性は、デフォルト設定のGitea公式Dockerイメージ（バージョン1.26.2まで）に影響を及ぼします。

メンテナーは、この問題を再現する手順を公開し、「意図された認証プロキシを経由せず、GiteaコンテナのHTTPポートに直接アクセスできるプロセスであれば、ログイン名が既知または推測可能な任意のユーザーになりすますことができる。管理者アカウント（admin、gitea_adminなど）が明らかな標的となる」と警告しています。

Giteaは、CVE-2026-20896に対処したバージョン1.26.3および1.26.4をリリースし、ユーザーに対し、1.26.3で導入された別の問題とリグレッションを修正した最新リリースへ直接アップグレードするよう推奨しました。

シンガポールのサイバーセキュリティ庁（CSA）も、CVE-2026-20896が現在積極的に悪用されていることについて警告を発しています。

安全なバージョンへのアップグレードが不可能な場合、CSAは、REVERSE_PROXY_TRUSTED_PROXIES設定を、デフォルトのワイルドカード（*）ではなく、特定の信頼できるIPアドレスに限定することを推奨しています。

また、同機関は、すでに侵害が発生していないかを確認するため、アクセスログを精査して不審な活動がないかを確認するよう推奨しています。