CẢNH BÁO BẢO MẬT

Các nhà nghiên cứu an ninh mạng vừa công bố một lỗi bảo mật nghiêm trọng trong Gitea, nền tảng lưu trữ mã nguồn mở phổ biến, cho phép kẻ tấn công tải xuống các container image riêng tư mà không cần bất kỳ thông tin xác thực nào.

Chi tiết về lỗ hổng CVE-2026-27771

Lỗ hổng được định danh là CVE-2026-27771 với điểm CVSS 8.2. Đây là một lỗi thiết kế trong Registry Container của Gitea, khiến hệ thống coi các kho lưu trữ riêng tư là công khai khi có yêu cầu truy cập từ bên ngoài mà không cần tài khoản hay mật khẩu.

Phạm vi ảnh hưởng

Hơn 30.000 triển khai trên 30 quốc gia, bao gồm các lĩnh vực y tế, hàng không và hạ tầng bán lẻ.

Thời gian tồn tại

Lỗ hổng này đã âm thầm tồn tại trong gần 4 năm trước khi được công ty bảo mật Noscope phát hiện.

Phiên bản bị lỗi

Tất cả các phiên bản Gitea trước 1.26.2 và các nhánh phái sinh như Forgejo.

Rủi ro đối với doanh nghiệp

Việc lộ lọt Container Image riêng tư có thể dẫn đến rò rỉ mã nguồn, thông tin cấu hình nhạy cảm, API keys hoặc các bí mật kinh doanh được đóng gói bên trong image. Các quốc gia bị ảnh hưởng nhiều nhất bao gồm Trung Quốc, Hoa Kỳ, Đức, Pháp và Vương quốc Anh.

HÀNH ĐỘNG KHẨN CẤP

Cập nhật ngay lập tức: Nâng cấp Gitea lên phiên bản 1.26.2 hoặc mới hơn để vá lỗi hoàn toàn.
Cấu hình tạm thời: Nếu chưa thể cập nhật, hãy thiết lập [service].REQUIRE_SIGNIN_VIEW = true trong tệp cấu hình Gitea để bắt buộc đăng nhập khi xem nội dung.
Kiểm tra nhật ký: Rà soát lại log truy cập Registry để phát hiện các hoạt động pull image bất thường từ IP lạ.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Lỗ hổng Gitea nghiêm trọng cho phép truy cập trái phép Container Image riêng tư