Treize jours après la divulgation, les curieux mal intentionnés ont déjà sorti leurs sondes. La faille CVE-2026-20896 vise les instances Gitea déployées en conteneur Docker et fait exactement ce que craint tout adepte de l’auto-hébergement : elle transforme un en-tête HTTP en passe-partout.
Points clés
- CVE-2026-20896 touche les conteneurs Docker de Gitea avec authentification par reverse proxy activée
- Un attaquant peut forger l’en-tête X-WEBAUTH-USER pour usurper n’importe quel compte si le conteneur est joignable directement
- Des scans actifs ont été détectés 13 jours après la divulgation
- Parade : n’exposer Gitea que derrière le proxy et appliquer les correctifs
Un en-tête pris pour argent comptant
Le problème apparaît quand l’authentification par reverse proxy est activée. Dans cette configuration, Gitea délègue l’identification à un proxy placé devant lui et se contente de lire l’en-tête X-WEBAUTH-USER pour savoir qui frappe à la porte. Le proxy s’occupe de vérifier l’identité, Gitea fait confiance au résultat.
Le hic : si le conteneur Gitea reste joignable directement, sans passer par le proxy censé filtrer les requêtes, cette confiance devient une invitation. Un attaquant forge lui-même l’en-tête X-WEBAUTH-USER, y inscrit le nom de compte de son choix et se présente comme l’utilisateur voulu. Pas de mot de passe, pas de token, juste un en-tête bidon que le serveur avale sans broncher.
Docker et l’exposition qu’on croit maîtrisée
C’est le grand classique des déploiements en conteneur : on pense avoir tout verrouillé derrière le proxy, mais le port du conteneur reste ouvert quelque part sur le réseau, voire sur Internet. La faille ne réside pas dans une ligne de code exotique, mais dans une architecture où le garde-barrière peut être contourné par la porte de service.
Les scans détectés indiquent que des acteurs cherchent activement les instances vulnérables. Rien d’étonnant : treize jours, c’est largement le temps qu’il faut aux moteurs de scan pour intégrer une nouvelle CVE et ratisser le web à la recherche des retardataires.
Ce qu’il faut faire, tout de suite
Les administrateurs de forges Gitea auto-hébergées ont deux réflexes à adopter. D’abord, s’assurer que le conteneur n’est joignable QUE via le reverse proxy, jamais en accès direct : le proxy doit être la seule route possible vers Gitea. Ensuite, appliquer les correctifs dès leur disponibilité et vérifier la configuration de l’authentification par proxy.
La leçon est aussi vieille que le self-hosting : un composant qui fait aveuglément confiance à un en-tête client n’est protégé que par ce qui se trouve devant lui. Le jour où ce rempart tombe, l’en-tête redevient ce qu’il a toujours été, une simple chaîne de caractères que n’importe qui peut écrire.
