GiteaのDockerイメージの脆弱性CVE-2026-20896の悪用の試み
- カテゴリ
- 脆弱性の悪用
CVE記録によると、1.26.2までのGiteaのDockerイメージは既定でREVERSE_PROXY_TRUSTED_PROXIES=*を使い、リバースプロキシ認証のヘッダーが有効なとき、任意の送信元IPが利用者になりすませる［4］。The Hacker Newsは2026年7月6日、Sysdigが公開から13日後に、実環境で最初の悪用の試みを検知したと報じた［8］。
脆弱性の内容
GitLab Advisory Databaseの記録では、DockerイメージはREVERSE_PROXY_TRUSTED_PROXIES = *を書き込んだapp.iniのテンプレートを同梱していた［14］。
Giteaは、The Hacker Newsが引用したアドバイザリで、意図した認証プロキシを経ずにコンテナのHTTPポートへ直接届くプロセスは、ログイン名が既知か推測できる任意の利用者になりすませると説明した［8］。管理者アカウント（admin、gitea_adminなど）を明らかな標的に挙げた［8］。
The Hacker Newsが伝えた発見者の研究者の説明では、リバースプロキシのログインが有効ならポートに届く誰もがX-WEBAUTH-USERヘッダーを送り、パスワードもトークンも無く任意の利用者として認証される［8］。自動登録が有効なら、管理者の利用者名で管理者になる［8］。
Sysdigの研究者は、SecurityWeekが7月7日に伝えた発言で、Giteaの利用者は非公開のものを含むリポジトリ、誤ってコミットされた秘密情報（APIキー、DBの認証情報、デプロイトークン）、CI/CDの設定、デプロイキーを読み書きできると述べた［9］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-20896 | ［4］ |
| EUVDのID | EUVD-2026-41614 | ［6］ |
| CVSS 3.1 | 9.8、CRITICAL（CVE記録）、ベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | ［4］ |
| CWE | CWE-284 | ［4］ |
| CISAのSSVCの評価 | Exploitation: poc、Automatable: yes、Technical Impact: total | ［4］ |
| 報告者 | Tenableの研究者ほか | ［4］ |
| 文書化された既定値 | 127.0.0.0/8,::1/128（custom/conf/app.example.ini。ループバックだけを信頼） | ［14］ |
時系列
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Gitea Open Source Git Server | 1.26.2以下 | - | ［4］ |
| GiteaのDockerイメージ | 1.26.2以前 | 1.26.3 | ［8］ |
| code.gitea.io/gitea | 1.26.3より前のすべての版 | 1.26.3 | ［14］ |
Security Affairsは、影響は公式のDockerイメージだけで、安全な既定の設定を使う標準のインストールや自前でビルドしたものには及ばないと報じた［10］。同じ記事は、SysdigがShodanの検索でインターネットに露出したGiteaのインスタンスを約6,200見つけ、そのうち脆弱なシステムの数は分かっていないと伝えた［10］。
悪用の状況
The Hacker Newsの記事では、Sysdigの脅威調査の上級ディレクターが、これまでの活動は攻撃者による最初の調査に関するもので、悪用や攻撃の進行には至っていないと述べた［8］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 送信元のIPアドレス | 159.26.98[.]241 | Sysdig | ［8］ |
| 送信元の種別 | ProtonVPNのサービス | Sysdig | ［8］ |
| 試みと結び付けた活動 | 「VPN-exit scanner that grabbed access」 | Sysdig | ［9］ |
CyCognitoは解説で、CVE-2026-20896が公開から2週間以内に実環境で探索を受けたと書いた［15］。Tenable Researchは、このCVEをVulnerability Watchの分類でVulnerability of Interestに入れた［7］。
SecurityWeekの8月26日の記事では、CVE-2026-20896はまだCISAのKEVカタログに追加されていない［11］。10月25日に更新されたNVDの記録も、KEVへの追加を示す項目を持たない［5］。
修正と回避策
Giteaは、リリースの告知をブログに、リリースのページと修正のPull Requestをリポジトリに掲載した［1、2、3］。Forgejoも、セキュリティ告知の管理場所にこの脆弱性の項目を掲載した［16］。
The Hacker Newsによると、1.26.3〔注1〕でワイルドカードの*が削除され、リバースプロキシ認証はオプトインになった［8］。EUVDの記録では、GHSA-f75j-4cw6-rmx4の項目が修正のコミット99f8b3d9a1d32f4c39828e07971455a18191e0b9を参照している［6］。
CyCognitoは解説で、暫定の対応として次の措置を挙げた［15］。
未公表の事項
- Sysdigの観測の詳細（センサーの数、試みの件数、要求の内容）
- 「公開から13日後」の起点とした公開の日
- 実際に侵害されたインスタンスの数
- 最初の試みを行った攻撃者
注
出典
当事者
- ［1］Gitea『Release of 1.26.3 and 1.26.4』（公開日不明、保存記録のみ） 保存記録
- ［2］Gitea『Release v1.26.3』（公開日不明、保存記録のみ） 保存記録
- ［3］Gitea『Pull Request #38151』（公開日不明、保存記録のみ） 保存記録
関係組織
- ［16］Forgejo『CVE-2026-20896: needs to be addressed manually in v15 LTS』（公開日不明、保存記録のみ） 保存記録
公的機関
- ［4］CVE Program『CVE-2026-20896: Gitea Docker image trusts spoofable reverse-proxy headers by default』（2026年7月3日公開、2026年7月7日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-20896』（2026年7月3日公開、2026年10月25日更新）
- ［6］European Union Agency for Cybersecurity『EUVD-2026-41614』（2026年7月3日公開、2026年7月7日更新）
調査・観測
- ［7］Tenable, Inc.『CVE-2026-20896』（2026年7月3日公開、2026年10月25日更新）
- ［14］GitLab Inc.『CVE-2026-20896: Gitea Docker image: `REVERSE_PROXY_TRUSTED_PROXIES = *` default lets any source IP impersonate any user via `X-WEBAUTH-USER`』（2026年7月21日公開）
- ［15］CyCognito, Inc.『Emerging Threats: (CVE-2026-20896, CVE-2026-27771) Authentication Bypasses in Self-Hosted Gitea』（2026年7月8日公開）
報道機関
- ［8］The Hacker News『Threat Actors Probe Gitea Docker Flaw CVE-2026-20896 13 Days After Disclosure』（2026年7月6日公開）
- ［9］Wired Business Media『Critical Gitea Flaw Under Active Exploitation, Researchers Warn』（2026年7月7日公開）
- ［10］Security Affairs『Critical Gitea Docker Bug Under Active Exploitation Exposes Repositories and Secrets』（2026年7月7日公開）
- ［11］Wired Business Media『CISA Warns of Exploited Gitea Vulnerability』（2026年8月26日公開）
更新記録
- 2026年7月11日：公開した。
- 2026年7月21日：GitLab Advisory Databaseの7月21日の記録（出典14）を加え、「脆弱性の内容」「時系列」「対象の製品と版」を改めた。
- 2026年8月26日：SecurityWeekの8月26日の記事（出典11）を加え、「悪用の状況」を改めた。
- 2026年10月25日：NVDの記録とTenableのページの10月25日の更新（出典5、7）を加え、「悪用の状況」を改めた。