Một lỗ hổng nghiêm trọng trong image Docker chính thức của Gitea đang bị khai thác thực tế, cho phép kẻ tấn công vượt qua xác thực và mạo danh bất kỳ người dùng nào, kể cả tài khoản quản trị viên. Vấn đề được theo dõi với mã CVE-2026-20896, ảnh hưởng đến các triển khai dùng cấu hình mặc định khi bật cơ chế xác thực qua reverse proxy.
Thông tin do BleepingComputer tổng hợp từ cảnh báo của Sysdig và cố vấn bảo mật Gitea cho thấy điểm yếu nằm ở cách image Docker tin cậy header xác thực từ proxy. Trong một số cấu hình, giá trị REVERSE_PROXY_TRUSTED_PROXIES=* khiến Gitea chấp nhận header như X-WEBAUTH-USER từ bất kỳ địa chỉ IP nào có thể truy cập trực tiếp cổng HTTP của container.
Vì sao lỗ hổng này nguy hiểm
Gitea là nền tảng Git tự lưu trữ, thường dùng để quản lý mã nguồn, pull request, cộng tác phát triển và quy trình CI/CD. Khi hệ thống lưu trữ mã nguồn bị chiếm quyền, rủi ro không chỉ dừng ở một máy chủ ứng dụng mà có thể lan sang bí mật triển khai, khóa truy cập, pipeline và toàn bộ chuỗi cung ứng phần mềm.
Trong kịch bản bị ảnh hưởng, kẻ tấn công không cần mật khẩu hoặc token. Nếu biết hoặc đoán được tên đăng nhập, đặc biệt là các tên phổ biến như admin or gitea_admin, kẻ tấn công có thể gửi header xác thực tự khai báo để Gitea tin rằng yêu cầu đến từ người dùng hợp lệ.
Phạm vi ảnh hưởng và dấu hiệu khai thác
Theo cố vấn bảo mật của Gitea, CVE-2026-20896 ảnh hưởng đến các image Docker chính thức đến phiên bản 1.26.2 khi dùng cấu hình mặc định liên quan đến reverse proxy authentication. Sysdig cho biết đã ghi nhận hoạt động khai thác thực tế sau khi lỗ hổng được công bố, trong đó có trường hợp máy quét từ hạ tầng VPN thử truy cập bằng kỹ thuật mạo danh header.
BleepingComputer dẫn dữ liệu cho thấy có khoảng 6.200 phiên bản Gitea đang phơi lộ trên web công cộng, dù chưa rõ bao nhiêu hệ thống thực sự dùng cấu hình dễ bị khai thác. Cơ quan An ninh mạng Singapore cũng đã phát cảnh báo về việc lỗ hổng này đang bị khai thác.
Recommendations for Administrators
Gitea đã phát hành các bản 1.26.3 và 1.26.4 để xử lý vấn đề. Quản trị viên nên nâng cấp trực tiếp lên phiên bản mới nhất thay vì dừng ở bản vá trung gian, vì bản phát hành sau còn xử lý thêm lỗi và hồi quy liên quan.
Nếu chưa thể nâng cấp ngay, cấu hình REVERSE_PROXY_TRUSTED_PROXIES cần được giới hạn về đúng địa chỉ IP của reverse proxy tin cậy, thay vì dùng ký tự đại diện. Đồng thời, đội vận hành nên rà soát access log để tìm các yêu cầu có header xác thực bất thường, đặc biệt là truy cập trực tiếp tới cổng HTTP của container hoặc các lần đăng nhập đột ngột vào tài khoản có quyền cao.
Bài học cho môi trường DevOps
Sự cố cho thấy cấu hình mặc định trong container có thể trở thành điểm yếu nghiêm trọng khi đi vào môi trường sản xuất. Với các hệ thống quản lý mã nguồn, nguyên tắc phòng thủ cần bao gồm cô lập mạng nội bộ cho container, chỉ cho phép reverse proxy hợp lệ tiếp cận cổng dịch vụ, bật ghi log chi tiết và kiểm tra lại các header được tin cậy.
Đối với tổ chức đang vận hành Gitea, ưu tiên hiện tại là xác định phiên bản image, kiểm tra cấu hình reverse proxy, cập nhật lên bản an toàn và rà soát dấu hiệu truy cập bất thường. Đây cũng là thời điểm phù hợp để đánh giá lại cách quản lý bí mật trong repository, quyền của tài khoản quản trị và đường đi của pipeline triển khai.
VNCyberS tổng hợp từ BleepingComputer, Gitea, Sysdig và CSA Singapore
Tiếng Việt
English