{"id":1435,"date":"2026-07-06T19:00:19","date_gmt":"2026-07-06T19:00:19","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/06\/actores-de-amenazas-investigan-la-falla-cve-2026-20896-de-gitea-docker-13-dias-despues-de-la-divulgacion-cyberdefensa-mx\/"},"modified":"2026-07-06T19:00:19","modified_gmt":"2026-07-06T19:00:19","slug":"actores-de-amenazas-investigan-la-falla-cve-2026-20896-de-gitea-docker-13-dias-despues-de-la-divulgacion-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/06\/actores-de-amenazas-investigan-la-falla-cve-2026-20896-de-gitea-docker-13-dias-despues-de-la-divulgacion-cyberdefensa-mx\/","title":{"rendered":"Actores de amenazas investigan la falla CVE-2026-20896 de Gitea Docker 13 d\u00edas despu\u00e9s de la divulgaci\u00f3n \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Se ha observado que los actores de amenazas intentan explotar una falla de seguridad cr\u00edtica recientemente reparada en las im\u00e1genes de Gitea Docker. seg\u00fan Sysdig<\/a>.<\/p>\n

La vulnerabilidad en cuesti\u00f3n es CVE-2026-20896<\/a><\/b> (Puntuaci\u00f3n CVSS: 9,8), una vulnerabilidad que surge de que la plataforma DevOps conf\u00eda en el encabezado \u00abX-WEBAUTH-USER\u00bb de cualquier direcci\u00f3n IP de origen, lo que permite efectivamente que un cliente de Internet no autenticado obtenga acceso elevado.<\/p>\n

En una declaraci\u00f3n compartida con The Hacker News por correo electr\u00f3nico, el investigador de seguridad Ali Mustafa (@rz1027), a quien se le atribuye descubrir y reportar<\/a> La falla, dijo que las im\u00e1genes de Gitea Docker inclu\u00edan una plantilla \u00abapp.ini\u00bb que codifica \u00abREVERSE_PROXY_TRUSTED_PROXIES = *\u00bb de forma predeterminada. El \u00abaplicaci\u00f3n.ini<\/a>\u00abEl archivo es un archivo de configuraci\u00f3n principal para administrar los par\u00e1metros del servidor, las conexiones de bases de datos, el comportamiento de seguridad y la configuraci\u00f3n de la aplicaci\u00f3n.<\/p>\n

\u00abCon el inicio de sesi\u00f3n de proxy inverso habilitado, ese comod\u00edn conf\u00eda en cada IP de origen, por lo que cualquiera que pueda alcanzar el puerto podr\u00eda enviar un encabezado X-WEBAUTH-USER y autenticarse como cualquier usuario, sin contrase\u00f1a ni token\u00bb, explic\u00f3 Mustafa. \u00abCon el registro autom\u00e1tico activado, un nombre de usuario de administrador le otorga administrador\u00bb.<\/p>\n

Vale la pena se\u00f1alar que el valor seguro documentado para la variable interna \u00abREVERSE_PROXY_TRUSTED_PROXIES\u00bb es \u00ab127.0.0.0\/8,::1\/128\u00bb, lo que significa que solo localhost, tambi\u00e9n conocido como la interfaz loopback, est\u00e1 permitido como servidor proxy confiable. Sin embargo, la imagen oficial de Docker no utiliza este c\u00f3digo \u00ab*\u00bb predeterminado. En otras palabras, la verificaci\u00f3n de la lista de permitidos es tan buena como no tenerla.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Por lo tanto, cuando un administrador configura \u00abENABLE_REVERSE_PROXY_AUTHENTICATION = true\u00bb para poner a Gitea detr\u00e1s de un proxy inverso de autenticaci\u00f3n y deja la configuraci\u00f3n \u00abREVERSE_PROXY_TRUSTED_PROXIES\u00bb en su valor predeterminado, permite un encabezado HTTP personalizado X-WEBAUTH-USER desde cualquier IP de origen que pueda llegar al contenedor.<\/p>\n

\u00abCualquier proceso que pueda llegar directamente al puerto HTTP del contenedor de Gitea, no a trav\u00e9s del proxy de autenticaci\u00f3n previsto, puede hacerse pasar por cualquier usuario cuyo nombre de inicio de sesi\u00f3n sea conocido o adivinable\u00bb, seg\u00fan el aviso de Gitea. \u00abLas cuentas de administrador (admin, gitea_admin, etc.) son los objetivos obvios\u00bb.<\/p>\n

La vulnerabilidad afecta a las versiones de im\u00e1genes de Gitea Docker anteriores a la 1.26.2 incluida. Ha sido abordado en versi\u00f3n 1.26.3<\/a> lanzado a fines del mes pasado, con el comod\u00edn \u00ab*\u00bb ahora eliminado y la autenticaci\u00f3n de proxy inverso habilitada.<\/p>\n

Desde entonces, la empresa de seguridad en la nube Sysdig ha revelado que detect\u00f3 el primer intento de explotaci\u00f3n en estado salvaje 13 d\u00edas despu\u00e9s de la divulgaci\u00f3n p\u00fablica de la vulnerabilidad. Hay alrededor de 6200 instancias de Gitea con acceso a Internet.<\/p>\n

\u00abHasta ahora, las actividades han estado relacionadas con la investigaci\u00f3n inicial del actor de amenazas\u00bb, dijo a The Hacker News Michael Clark, director senior de investigaci\u00f3n de amenazas de Sysdig.<\/p>\n

\u00abMientras vimos la primera acci\u00f3n desde una IP del servicio ProtonVPN, 159.26.98[.]241 hasta ahora no ha progresado a ning\u00fan progreso de explotaci\u00f3n o ataque. Creemos que esto se debe a que lo hemos visto temprano antes de que tuviera la oportunidad de desarrollarse m\u00e1s all\u00e1 de esa fase inicial\u00bb.<\/p>\n

Dada la gravedad del problema, es esencial que los usuarios apliquen las correcciones lo antes posible para una protecci\u00f3n \u00f3ptima.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Se ha observado que los actores de amenazas intentan explotar una falla de seguridad cr\u00edtica recientemente reparada en las im\u00e1genes de Gitea Docker. seg\u00fan Sysdig. La vulnerabilidad en cuesti\u00f3n es CVE-2026-20896 (Puntuaci\u00f3n CVSS: 9,8), una vulnerabilidad que surge de que la plataforma DevOps conf\u00eda en el encabezado \u00abX-WEBAUTH-USER\u00bb de cualquier direcci\u00f3n IP de origen, lo […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[665,337,3555,24,261,717,1123,1159,263,2735,3554],"class_list":["post-1435","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-actores","tag-amenazas","tag-cve202620896","tag-cyberdefensa-mx","tag-despues","tag-dias","tag-divulgacion","tag-docker","tag-falla","tag-gitea","tag-investigan"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1435","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1435"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1435\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1435"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1435"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1435"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}