Vulnerabilidad en Gitea permite acceso no autenticado a imágenes privadas
Publicado el
Vulnerabilidad en Gitea
Investigadores en ciberseguridad han revelado una grave vulnerabilidad en Gitea, una plataforma de control de versiones de código abierto y autohospedada. Esta falla permite a atacantes remotos no autenticados extraer imágenes de contenedores privadas de despliegues de Gitea sin necesidad de contar con una cuenta, contraseña u otras credenciales.
La vulnerabilidad, identificada como CVE-2026-27771, afecta a todas las versiones de Gitea anteriores a la 1.26.2, que ya ha solucionado el problema. Según el análisis realizado por Noscope, este defecto de seguridad podría impactar a más de 30,000 despliegues en más de 30 países, habiendo permanecido sin detección durante casi cuatro años. Las exposiciones se concentran principalmente en China, Estados Unidos, Alemania, Francia y el Reino Unido.
Las organizaciones afectadas abarcan diversos sectores, incluidos proveedores de servicios de salud, fabricantes aeroespaciales, infraestructuras de retail y proveedores de servicios de Internet. Noscope ha señalado que en las versiones afectadas, la designación de privado en un repositorio de contenedores no ofrecía la protección que los operadores esperaban razonablemente.
"Gitea's container registry ha permitido que cualquier persona en Internet, sin necesidad de una cuenta o contraseña, acceda a lo que se consideraría imágenes de contenedores privadas a primera vista desde instancias afectadas como si fueran públicas", declaró Noscope.
La empresa de seguridad con sede en el Reino Unido también ha indicado que cualquier fork de Gitea debe considerarse potencialmente afectado por esta vulnerabilidad hasta que sea verificado de manera independiente por los respectivos mantenedores. En pruebas realizadas, se ha confirmado que Forgejo, un fork de Gitea, también está afectado.
En este momento, no se dispone de detalles técnicos adicionales sobre la vulnerabilidad. Se recomienda a los usuarios de Gitea actualizar a la versión 1.26.2 para garantizar una protección óptima. Si la aplicación de parches no es una opción inmediata, una solución temporal es establecer la opción `[service].REQUIRE_SIGNIN_VIEW=true` en la configuración de Gitea. Sin embargo, es importante señalar que este enfoque no es ideal si algunos contenedores deben ser intencionadamente expuestos al público.
Es fundamental que los administradores de Gitea realicen las actualizaciones necesarias para evitar posibles exposiciones de datos sensibles y proteger sus infraestructuras de ciberataques.