Аналітики Sysdig виявили перші активні спроби експлуатації критичної уразливості в Docker-образах DevOps-платформи Gitea з оцінкою 9.8 за CVSS. Проблема виникла через те, що в конфігураційному файлі app.ini за замовчуванням було прописано значення “REVERSE_PROXY_TRUSTED_PROXIES = *”. Цей знак змушує систему довіряти будь-якій вхідній IP-адресі в Інтернеті замість обмеження локальним хостом.

Якщо адміністратор вмикав зворотне проксі-автентифікацію, хакер міг надіслати підроблений HTTP-заголовок “X-WEBAUTH-USER” напряму на відкритий порт контейнера. Через відсутність перевірки джерела система автоматично авторизувала атакуючого під будь-яким ім’ям адміністратора без запиту пароля чи токена. Зараз у мережі зафіксовано масове сканування з VPN-сервісів для пошуку вразливих версій Gitea до 1.26.2 включно.