«Приватное» оказалось не приватным: разбираю свежий Gitea auth-bypass на живом стенде

Вот важная новость с фронта ИИ: CynepMyx 27 минут назад «Приватное» оказалось не приватным: разбираю свежий Gitea auth-bypass на живом стенде Средний 4 мин 1K Информационная безопасность * DevOps * Системное администрирование * Open source * Кейс Из песочницы Люди поднимают self-hosted git не от хорошей жизни. Ставят Gitea или Forgejo тогда, когда код нельзя отдавать наружу. Даже в приватные репозитории на GitHub не хочется, нужен свой закрытый контур, свои правила.

Весь смысл затеи в приватности. Своё, за забором, под контролем. А теперь представьте, что забора нет.

Технические детали

Что “приватный” репозиторий отдаёт содержимое любому, кто попросит правильно. Что админом можно зайти без пароля, одним HTTP-заголовком. Ровно это в 2026-м у Gitea и случилось.

Сразу оговорюсь: Gitea я сам не гоняю, и статья не про неё. Я занимаюсь безопасностью серверов, и здесь меня цепляет не конкретный продукт, а проблема, которую я вижу постоянно. Опасные дефолты в официальных Docker-образах.

Человек берёт образ, запускает “как в доке”, и получает дыру, которую сам не закладывал. Поэтому я взял свежий критический CVE, поднял уязвимую версию на стенде и прошёл атаку целиком. Чтобы показать, насколько всё буквально.

Отраслевые последствия

Один заголовок до админа: CVE-2026-20896 (CVSS 9. 8)Вся уязвимость помещается в одну строку конфига. Gitea умеет жить за аутентифицирующим reverse-proxy.

Прокси проверяет пользователя и передаёт его имя в заголовке X-WEBAUTH-USER, а Gitea этому заголовку верит. Пока заголовок приходит от доверенного прокси, всё честно. За доверие отвечает параметр REVERSE_PROXY_TRUSTED_PROXIES.

И вот в официальном Docker-образе он стоял в звёздочку. То есть “верить этому заголовку с любого адреса”. Дальше арифметика простая.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.