GiteaのDockerイメージに深刻な脆弱性「CVE-2026-20896」が判明、公開から13日後には初の悪用試行を検知

要点

• GiteaのDockerイメージに、認証なしで管理者権限を取得される可能性のある深刻な脆弱性「CVE-2026-20896」が判明した。
• 脆弱性の原因は、設定テンプレートで信頼するプロキシサーバー（ネットワーク通信を中継するサーバー）として、すべての通信を許可するワイルドカード「*」が指定されていたことにある。
• 影響を受けるのはバージョン1.26.2以前であり、対策済みのバージョン1.26.3がすでにリリースされている。
• セキュリティ企業のSysdigは、脆弱性公開の13日後に実際の環境で攻撃者による初期の調査活動を検知した。

リード文

Gitホスティングプラットフォーム「Gitea」のDockerイメージ（アプリの実行に必要な環境をパッケージ化したもの）において、認証を回避して任意のユーザーになりすませる深刻な脆弱性「CVE-2026-20896」が明らかになった。クラウドセキュリティ企業のSysdigは、脆弱性公開の13日後に実際の環境で攻撃者による悪用試行を初検知したと報告。影響を受けるのはバージョン1.26.2以前であり、開発元は対策済みの修正バージョンをリリースして速やかなアップデートを呼びかけている。

脆弱性の詳細と発生原因

脆弱性「CVE-2026-20896」は、深刻度を示すCVSS（共通脆弱性評価システム）スコアで10点満点中「9.8」と評価されている。この問題は、GiteaのDockerイメージに同梱されている設定テンプレート「app.ini」において、特定のHTTPヘッダーに対する信頼設定が不適切だったことに起因する。

発見者のAli Mustafa（@rz1027）氏によると、このテンプレートでは、信頼するプロキシを指定する設定項目「REVERSE_PROXY_TRUSTED_PROXIES」に、すべてのIPアドレス（ネットワーク上の機器を識別する番号）を信頼するワイルドカード「*」がデフォルトで設定されていた。推奨される安全な値はローカル環境のみを許可する「127.0.0.0/8, ::1/128」だが、Dockerイメージでは制限が機能せず、あらゆる送信元からの通信を信頼する状態になっていた。

悪用の仕組みと影響

この不備は、Giteaをリバースプロキシ（外部からのアクセスを一時的に受け取って内部のサーバーへ転送する代理サーバー）の背後に置き、プロキシ経由の認証連携を有効にした場合に深刻なリスクとなる。

管理者がプロキシ認証を有効にする設定「ENABLE_REVERSE_PROXY_AUTHENTICATION = true」を使用し、プロキシ設定をデフォルトのままにしていると、コンテナに直接届く通信が信頼されたプロキシ経由のものと誤認される。

これにより攻撃者は、HTTPヘッダー（通信のメタ情報を送る仕組み）である「X-WEBAUTH-USER」に任意のユーザー名を指定して直接リクエストを送るだけで、パスワードなしでログイン可能になる。公式アドバイザリは、「admin」などの管理者アカウントが標的になると警告している。また、自動登録機能が有効な環境では、管理者名で接続するだけで管理者権限が乗っ取られる恐れがある。

影響範囲と対策状況

影響を受けるのは、バージョン1.26.2以前のGitea Dockerイメージである。開発元は2026年6月末にリリースしたバージョン1.26.3でこの問題に対処した。修正版ではワイルドカード「*」が削除され、プロキシ認証機能は明示的に有効化する「オプトイン」方式に変更されている。

攻撃者による偵察活動の検知

Sysdigによると、ネット上で公開されているGiteaのインスタンスは約6,200件に上る。同社は脆弱性公開の13日後に、実際の環境で初の悪用試行を検知した。

脅威調査部門のマイケル・クラーク（Michael Clark）氏によると、観測された活動は初期調査（偵察）段階にとどまるという。アクセスはVPN（インターネット上に仮想の専用線を構築する技術）サービス「ProtonVPN」のIPアドレス「159.26.98.241」からだったが、システム侵入などの段階には進んでいない。クラーク氏は、初期段階で検知できたため攻撃の進展を防げたとみている。