🔴 CVE-2026-20896: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-20896 beschreibt eine kritische Sicherheitslücke in Gitea Docker Images bis Version 1.26.2. Die Standardkonfiguration REVERSE_PROXY_TRUSTED_PROXIES=* ermöglicht es Angreifern, beliebige IP-Adressen zu spoofing und sich als andere Benutzer auszugeben, wenn Reverse-Proxy-Authentifizierungsheader wie X-WEBAUTH-USER aktiviert sind.

Betroffene Systeme

Betroffen sind Gitea Docker Image Versionen bis einschließlich 1.26.2. Das Risiko existiert primär in containerisierten Umgebungen, wo die Standard-Konfiguration ohne Anpassung deployed wird. Systeme mit explizit konfigurierter REVERSE_PROXY_TRUSTED_PROXIES auf spezifische IP-Adressen sind nicht vulnerable.

Technische Details

Die Misconfiguration erlaubt es unauthentifizierten Angreifern im Netzwerk, Reverse-Proxy-Header zu manipulieren. Wenn REVERSE_PROXY_TRUSTED_PROXIES=* gesetzt ist, vertraut Gitea allen eingehenden Verbindungen bezüglich der Benutzeridentität. Ein Angreifer kann durch das Setzen von X-WEBAUTH-USER-Headern Admin-Konten hijacken oder privilegierte Operationen durchführen.

Der Angriffsvektor setzt Netzwerkzugriff voraus. In Umgebungen mit aktivierter SSO oder Header-basierter Authentifizierung ist das Risiko besonders erhöht.

Empfohlene Massnahmen

• Sofort: Docker Images auf eine gepatchte Version aktualisieren (nach 1.26.2)
• Alternativ: REVERSE_PROXY_TRUSTED_PROXIES auf die spezifische IP des Reverse-Proxy setzen
• Netzwerk: Zugriff auf Gitea-Instanzen auf vertrauenswürdige Netzwerkzonen beschränken
• Monitoring: Verdächtige X-WEBAUTH-USER-Header in Access-Logs überprüfen

Bewertung

CVSS Score: 9.8 (Critical) – Diese Bewertung spiegelt das hohe Ausmaß der Auswirkungen wider. Die unkontrollierte Benutzerimpersonifikation ermöglicht vollständigen Zugriff auf Gitea-Funktionen ohne Authentifizierung. Da kein Patch verfügbar ist, wird sofortige Konfigurationsanpassung empfohlen.

„`