Rien de tel qu’une image Docker officielle pour dormir tranquille… sauf quand elle laisse entrer n’importe qui déguisé en administrateur. C’est le mauvais réveil réservé aux adeptes de l’auto-hébergement : une vulnérabilité critique affecte l’image Docker officielle de Gitea, le service Git auto-hébergé prisé des homelabs. Et elle est déjà exploitée dans la nature.
Points clés
- Une vulnérabilité critique affecte l’image Docker officielle de Gitea, le service Git auto-hébergé.
- La faille permet d’usurper l’identité de n’importe quel utilisateur, administrateurs inclus.
- Elle est activement exploitée : la mise à jour de l’instance est urgente.
Un contournement d’authentification en règle
La faille permet à un attaquant de se faire passer pour n’importe quel utilisateur du serveur. Comptes lambda comme comptes à privilèges élevés : le contournement d’authentification ne fait pas de tri, et rien n’empêche d’endosser l’identité d’un administrateur pour prendre la main sur l’instance.
Pour une plateforme qui héberge du code source, des clés et parfois toute la chaîne d’intégration continue d’un projet, le scénario a de quoi faire transpirer. Un accès admin usurpé, c’est potentiellement la porte ouverte aux dépôts privés, à l’injection de code malveillant et à la compromission en cascade des systèmes qui tirent leurs artefacts depuis le serveur.
Déjà exploitée : la mise à jour ne peut pas attendre
La particularité inquiétante ici, ce n’est pas la faille en elle-même mais son statut : elle est activement exploitée. Autrement dit, les attaquants n’attendent pas votre feu vert pour tester leurs clés passe-partout sur les instances exposées.
Le réflexe est classique mais toujours valable : mettre à jour son image Gitea sans traîner, vérifier les journaux d’accès à la recherche de connexions suspectes ou d’élévations de privilèges anormales, et restreindre autant que possible l’exposition du service sur le réseau public. L’auto-hébergement, c’est la liberté… et la responsabilité de tenir ses briques à jour.
