Gitea-Schwachstelle gefährdet private Container-Images

Durch das Senden standardmäßiger Docker- oder OCI-Pull-Anfragen an die betroffene Registry-API können Angreifer Container-Images anonym abrufen. Dies umgeht effektiv die erwarteten Zugriffseinschränkungen und macht sensible Daten, die in diesen Images eingebettet sind, zugänglich. Die Sicherheitsauswirkungen sind erheblich.

Container-Images enthalten häufig proprietären Anwendungscode, interne Konfigurationen, API-Schlüssel, Datenbankzugangsdaten und Cloud-Zugangstoken. Unbefugter Zugriff auf solche Daten kann Angreifern ermöglichen, die interne Infrastruktur zu kartieren, Berechtigungen zu eskalieren und potenziell Produktionsumgebungen zu kompromittieren.

Im schlimmsten Fall kann dies zu lateralem Bewegung innerhalb der Systeme, Datenlecks oder sogar zur vollständigen Übernahme der Infrastruktur führen. Gitea-Container-Schwachstelle Alle Gitea-Versionen vor 1.26.2 sind betroffen.

Technik und Auswirkungen

Forgejo, eine weit verbreitete Gabel, die dieselbe Container-Registry-Implementierung nutzt, wurde ebenfalls durch unabhängige Tests als anfällig bestätigt. Angesichts der weiten Verbreitung das Ausmaß der Exposition erheblich.

Forscher schätzen, dass über 31.000 internetexponierte Gitea-Instanzen potenziell betroffen sind; die Bereitstellungen wurden in mehreren Sektoren beobachtet, darunter Gesundheitswesen, Luft- und Raumfahrt, Einzelhandel und Unternehmenssoftware.

Ein erheblicher Teil dieser Vorfälle wird auf großen Cloud-Plattformen gehostet, was die Angriffsfläche weiter vergrößert. Die Schwachstelle wurde im April 2026, einem autonomen Penetration-Testing-Agenten, entdeckt und den Gitea-Entwicklern verantwortungsvoll offengelegt.

Sicherheitslage und Risiko

Das Problem blieb seit der Einführung der Container-Registry-Funktion fast vier Jahre lang unbemerkt. Obwohl bisher kein öffentlich verfügbare Exploit-Code oder aktive Ausnutzung beobachtet wurde, warnten Forscher, dass die Lücke aufgrund ihrer einfachen Ausnutzbarkeit und des Fehlens Risiko darstellt.

Gitea hat die Schwachstelle in Version 1.26.2 behoben, und Benutzer werden dringend aufgefordert, unverzüglich zu aktualisieren. Als vorübergehende Gegenmaßnahme können Administratoren die globale Authentifizierung erzwingen, indem sie die Einstellung REQUIRE_SIGNIN_VIEW aktivieren, was jedoch den legitimen öffentlichen Zugriff einschränken kann.

Sicherheits-Teams sollten zudem Zugriffsprotokolle auf unbefugte Pulls überprüfen und alle Credentials rotieren, die möglicherweise durch Container-Images offengelegt wurden.

Organisationen, die Gitea für die Container-Speicherung und CI/CD-Arbeitsabläufe nutzen, sollten diese Schwachstelle als dringend einstufen und die Behebung priorisieren, um potenzielle Datenoffenlegungen und nachgelagerte Kompromittierungen zu verhindern. Sie uns auf