Aanvallers misbruiken kritiek lek in Gitea's Docker-image via één HTTP-header

Aanvallers misbruiken een kritiek lek in de officiële Docker-image van Gitea, de populaire self-hosted Git-server, om zich met één HTTP-header voor te doen als elke gebruiker, tot en met de beheerder. Beveiligingsbedrijf Sysdig ontdekte het gat, dat de maximale ernstscore van 9,8 op 10 krijgt.

Voor elk bedrijf dat zijn eigen Git-server draait, is dit geen abstract risico. Op zo'n server staat je broncode, en vaak ook je geheimen. Wie zich als beheerder voordoet, krijgt in één klap toegang tot private repositories, API-sleutels, database-wachtwoorden en deploy-keys: precies de sleutels waarmee software naar productie gaat.

Eén header schakelt de hele authenticatie uit

Het probleem zit niet in Gitea zelf, maar in hoe de officiële Docker-image standaard staat ingesteld. Die image levert de instelling REVERSE_PROXY_TRUSTED_PROXIES=* mee: een wildcard die elk IP-adres vertrouwt als een legitieme reverse proxy. Staat reverse-proxy-authenticatie aan, dan gelooft Gitea de X-WEBAUTH-USER-header van elke bezoeker. Een ongeauthenticeerde bezoeker van het open internet wordt daarmee wie hij beweert te zijn, inclusief een account met beheerdersrechten.

Alleen de Docker-image, en alleen bij deze standaardinstelling

Het lek, geregistreerd als CVE-2026-20896, treft de officiële Docker-images tot en met versie 1.26.2 in de standaardconfiguratie. Een gewone of zelfgebouwde Gitea-installatie met veilige defaults loopt geen gevaar: het is specifiek de kant-en-klare image die de deur openzet. Gitea bracht versie 1.26.3 uit die het gat dicht en adviseert direct door te upgraden naar de nieuwste release, die ook een regressie in 1.26.3 herstelt.

Kun je niet meteen updaten, beperk dan REVERSE_PROXY_TRUSTED_PROXIES tot je eigen vertrouwde IP-adressen in plaats van de wildcard, en loop je toegangslogs na op verdachte inlogpogingen.

Het misbruik loopt al

Dit is geen theoretisch scenario. Sysdig telde ongeveer 6.200 kwetsbare Gitea-instanties die direct aan het internet hangen, en registreerde dertien dagen na de melding de eerste aanval in het wild: een scanner achter een VPN-exit die toegang binnenhaalde. Bij een gat dat met één header te misbruiken is en waarvan de details openbaar zijn, is de tijd tussen bekendmaking en massale scans kort.

Wie zelf host, erft elke default

De les sluit aan bij een terugkerend patroon rond zelf hosten. Bij het recente datalek waarbij Nextcloud 367.000 interne records lekte via een database die zonder wachtwoord open stond, lag de fout bij de eigen configuratie. Hier zit het venijn juist in de standaardinstelling die de leverancier meelevert, maar de uitkomst is dezelfde: wie zelf host, erft de verantwoordelijkheid voor elke default.

Een image die 'gewoon werkt' kan een wildcard-vertrouwen meedragen dat je nooit bewust hebt aangezet. Het echte werk zit niet in het draaien van de container, maar in het narekenen van wat hij standaard aan het internet blootstelt.