ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ช่องโหว่ด้านความมั่นคงปลอดภัยของ Gitea ซึ่งเป็นแพลตฟอร์มสำหรับให้บริการ Git Repository แบบ Self-hosted โดยพบการเปิดเผยช่องโหว่ร้ายแรงหลายรายการในรุ่น 1.26.3 และ 1.26.4 รวมถึงช่องโหว่ Authentication Bypass ที่มีความรุนแรงระดับ Critical (CVSS 9.8) ซึ่งเกิดจากการกำหนดค่า Reverse Proxy ที่ไม่ปลอดภัย ส่งผลให้ผู้โจมตีสามารถปลอมแปลงตัวตนผู้ใช้งานและเข้าถึงระบบได้โดยไม่ต้องยืนยันตัวตน จึงขอแนะนำให้ผู้ดูแลระบบตรวจสอบและดำเนินการแก้ไขโดยเร่งด่วน
1. รายละเอียดช่องโหว่
Gitea ได้เผยแพร่การแก้ไขช่องโหว่ด้านความมั่นคงปลอดภัย [1] ในเวอร์ชัน 1.26.3 และ 1.26.4 โดยช่องโหว่ที่มีความสำคัญคือ CVE-2026-20896 (CVSS 3.1: 9.8) [2] ซึ่งเป็นช่องโหว่ Authentication Bypass ที่เกิดจากการกำหนดค่า REVERSE_PROXY_TRUSTED_PROXIES=* ในบางรูปแบบการติดตั้ง โดยเฉพาะ Docker Image ทำให้ระบบเชื่อถือ Header ที่ส่งมาจากผู้ใช้งานโดยไม่มีการตรวจสอบแหล่งที่มาอย่างเหมาะสม
ผู้โจมตีสามารถส่ง HTTP Header เช่น X-WEBAUTH-USER [3] เพื่อปลอมแปลงเป็นผู้ใช้หรือผู้ดูแลระบบ (Administrator) และเข้าถึงระบบได้โดยไม่ต้องผ่านกระบวนการยืนยันตัวตน ส่งผลให้สามารถเข้าถึงซอร์สโค้ดส่วนตัว (Private Repository) ข้อมูลรับรอง (Credentials) SSH Keys ความลับในระบบ CI/CD และข้อมูลสำคัญอื่น ๆ ได้
นอกจากนี้ Gitea ยังได้แก้ไขช่องโหว่อื่น ๆ ที่เกี่ยวข้องกับการควบคุมสิทธิ์ (Access Control) การเข้าถึงข้อมูล Git LFS การรั่วไหลของข้อมูลผ่าน RSS/Atom Feed และการตรวจสอบสิทธิ์ของ Repository Token ซึ่งช่วยลดความเสี่ยงจากการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
2. รูปแบบการโจมตี
ผู้โจมตีสามารถสแกนหา Gitea ที่เปิดให้บริการผ่านอินเทอร์เน็ต และตรวจสอบว่าระบบมีการกำหนดค่า Reverse Proxy ที่ไม่ปลอดภัยหรือไม่ หากพบว่าระบบเชื่อถือ Header จากทุกแหล่ง ผู้โจมตีสามารถปลอมแปลง Header เพื่อสวมสิทธิ์เป็นผู้ใช้งานหรือผู้ดูแลระบบได้ทันทีโดยไม่จำเป็นต้องทราบรหัสผ่าน เมื่อเข้าถึงระบบสำเร็จ ผู้โจมตีสามารถดำเนินการได้ดังนี้
2.1 เข้าถึงและดาวน์โหลด Private Repository
2.2 เข้าถึง SSH Keys และ Access Token
2.3 เข้าถึงข้อมูลในระบบ CI/CD และ Pipeline
2.4 ขโมย Source Code หรือข้อมูลทรัพย์สินทางปัญญา
2.5 ใช้ระบบเป็นฐานในการโจมตีระบบภายในองค์กรต่อไป
ทั้งนี้ นักวิจัยด้านความมั่นคงปลอดภัยของ HiveSecurity [4] รายงานว่า ช่องโหว่ CVE-2026-20896 เป็นหนึ่งในช่องโหว่ที่มีความเสี่ยงสูงที่สุดของ Gitea ในรอบการอัปเดตเดือนมิถุนายน 2569 เนื่องจากผู้ไม่หวังดีสามารถปลอมแปลงค่า X-WEBAUTH-USER ใน HTTP Header เพียงรายการเดียว เพื่อสวมสิทธิ์เป็นผู้ใช้งานหรือผู้ดูแลระบบได้ หากระบบมีการกำหนดค่า REVERSE_PROXY_TRUSTED_PROXIES=* และเปิดใช้งาน Reverse Proxy Authentication ส่งผลให้สามารถเข้าถึงซอร์สโค้ดส่วนตัว กุญแจ SSH ข้อมูลรับรอง (Credentials) ความลับของระบบ CI/CD และข้อมูลสำคัญอื่น ๆ ภายในระบบได้โดยไม่ต้องผ่านกระบวนการยืนยันตัวตน
3. ผลิตภัณฑ์ที่ได้รับผลกระทบ
3.1 Gitea ที่ติดตั้งด้วย Docker หรือมีการกำหนดค่า Reverse Proxy ที่เชื่อถือ Header จากทุกแหล่ง (REVERSE_PROXY_TRUSTED_PROXIES=*)
3.2 Gitea เวอร์ชันก่อน 1.26.4 (โดยเวอร์ชัน 1.26.3 มีการแก้ไขบางส่วนแต่พบปัญหาเพิ่มเติม จึงแนะนำให้อัปเดตเป็น 1.26.4 หรือใหม่กว่า)
3.3 ระบบที่เปิดให้บริการผ่าน Reverse Proxy และเปิดใช้งาน Web Authentication โดยไม่ได้กำหนด Trusted Proxy อย่างเหมาะสม
4. แนวทางการแก้ไข
4.1 อัปเดต Gitea เป็นเวอร์ชัน 1.26.4 หรือใหม่กว่าโดยทันที เนื่องจากเป็นเวอร์ชันที่รวมการแก้ไขช่องโหว่ด้านความมั่นคงปลอดภัยทั้งหมดจากรุ่น 1.26.3 พร้อมแก้ไขปัญหาที่พบเพิ่มเติม
4.2 ตรวจสอบและแก้ไขค่า REVERSE_PROXY_TRUSTED_PROXIES ให้ระบุเฉพาะ IP Address ของ Reverse Proxy ที่องค์กรใช้งานจริง เช่น NGINX หรือ HAProxy และ ห้ามกำหนดค่าเป็น * ซึ่งจะทำให้ระบบเชื่อถือ Header จากทุกแหล่ง
4.3 หากยังไม่สามารถอัปเดตได้ทันที ให้จำกัดการเข้าถึงระบบ Gitea เฉพาะเครือข่ายที่ได้รับอนุญาต และตรวจสอบการตั้งค่า Reverse Proxy อย่างเร่งด่วน เพื่อลดความเสี่ยงจากการถูกปลอมแปลงตัวตน
5. คำแนะนำด้านความปลอดภัยเพิ่มเติม
5.1 ตรวจสอบการตั้งค่า Reverse Proxy และ Trusted Proxy ให้เป็นไปตามแนวปฏิบัติด้านความมั่นคงปลอดภัย
5.2 ตรวจสอบ Log การใช้งานย้อนหลัง โดยเฉพาะการร้องขอที่มี Header เช่น X-WEBAUTH-USER หรือความพยายามเข้าสู่ระบบที่ผิดปกติ
5.3 ตรวจสอบการสร้างผู้ใช้งานใหม่ การเปลี่ยนแปลงสิทธิ์ และการเข้าถึง Private Repository ที่ผิดปกติ
5.4 เปลี่ยน Access Token, Personal Access Token และ SSH Keys หากสงสัยว่าระบบอาจถูกเข้าถึงโดยไม่ได้รับอนุญาต
5.5 จำกัดการเข้าถึงหน้า Administration และบริการ Gitea จากอินเทอร์เน็ตเมื่อไม่จำเป็น
ติดตามประกาศด้านความมั่นคงปลอดภัยจากผู้พัฒนาและดำเนินการติดตั้งแพตช์อย่างสม่ำเสมอ เพื่อป้องกันการถูกโจมตีจากช่องโหว่ที่ถูกเปิดเผยใหม่
แหล่งอ้างอิง
[1] https://dg.th/p0onjcdg15
[2] https://dg.th/jos2c385mp
[3] https://dg.th/5qbpkelunx
[4] https://dg.th/kw9eizs35j