Siber güvenlik araştırmacıları, Gitea'nın resmi Docker imajlarını etkileyen ve aktif olarak sömürülen kritik bir güvenlik açığı konusunda uyarıda bulunuyor. CVE-2026-20896 olarak izlenen bu açık, CVSS puanı 9.8 ile 'kritik' seviyesinde değerlendiriliyor. Sysdig araştırmacıları, açığın ifşa edilmesinden sadece 13 gün sonra ilk canlı saldırıları tespit ettiklerini bildirdi. Saldırganlar, geçerli bir kullanıcı adı içeren özel hazırlanmış tek bir HTTP başlığı göndererek kimlik doğrulamasını atlatabiliyor ve internet üzerinden erişilebilen Gitea örneklerine tam erişim sağlayabiliyor.
Güvenlik açığı, Gitea'nın resmi Docker imajlarının varsayılan yapılandırmasındaki güvensiz bir ayardan kaynaklanıyor. 'REVERSE_PROXY_TRUSTED_PROXIES' değişkeni varsayılan olarak '*' (tüm IP adresleri) olarak ayarlanmış durumda. Bu, ters proxy kimlik doğrulaması etkinleştirildiğinde, herhangi bir kaynaktan gelen X-WEBAUTH-USER başlığının güvenilir kabul edilmesine yol açıyor. Güvenlik araştırmacısı Ali Mustafa tarafından keşfedilen bu açık, standart veya elle kurulan Gitea sürümlerini değil, yalnızca resmi Docker imajlarını etkiliyor.
Sysdig'e göre, Shodan arama motoruyla yaklaşık 6.200 internete açık Gitea örneği tespit edildi, ancak kaç tanesinin savunmasız olduğu bilinmiyor. Saldırganlar, bu açığı kullanarak kaynak kod depolarına, özel depolara, yanlışlıkla commit edilmiş API anahtarları, veritabanı kimlik bilgileri ve dağıtım tokenları gibi hassas sırlara erişebiliyor. Ayrıca CI/CD yapılandırmaları ve dağıtım anahtarları da tehlike altında.
Gitea, 1.26.3 ve 1.26.4 sürümleriyle bu güvenlik açığını giderdi. Yeni sürümlerde ters proxy kimlik doğrulaması varsayılan olarak devre dışı bırakıldı ve isteğe bağlı hale getirildi. Kullanıcıların, kodlarını ve hassas verilerini korumak için en kısa sürede güncelleme yapmaları önemle tavsiye ediliyor. Bu açık, yazılım tedarik zinciri güvenliği açısından ciddi bir tehdit oluşturuyor.
