ثغرة جيتيا دوكر الحرجة CVE-2026-20896 دخلت مرحلة الخطر العملي، بعدما رُصدت محاولات استغلال بعد 13 يوماً فقط من كشفها وإصلاحها.
ما هي ثغرة جيتيا دوكر CVE-2026-20896؟
الثغرة تحمل درجة خطورة 9.8 من 10، ما يضعها ضمن الفئة الحرجة في أنظمة الأمن الرقمي. المشكلة لا تتعلق بكود معقد بقدر ما ترتبط بإعداد افتراضي غير آمن داخل صور Gitea Docker.
وفق التفاصيل التقنية، كان النظام يثق في ترويسة HTTP باسم X-WEBAUTH-USER من أي عنوان IP تقريباً. هذا يعني أن مهاجماً غير موثّق يمكنه انتحال هوية مستخدم معروف، بل وحتى الوصول إلى صلاحيات مرتفعة إذا صادف حساباً إدارياً.
لماذا حدثت المشكلة؟
السبب الأساسي يعود إلى ملف app.ini المرفق افتراضياً، حيث جرى ضبط قيمة REVERSE_PROXY_TRUSTED_PROXIES على النجمة * بدلاً من تقييدها بعناوين محلية آمنة فقط. عملياً، هذا الإعداد جعل قائمة الثقة مفتوحة على نطاق واسع.
- معرّف الثغرة: CVE-2026-20896
- درجة الخطورة: 9.8/10
- السبب: إعداد افتراضي غير آمن في صور دوكر
- نوع الهجوم: انتحال مستخدم عبر ترويسة X-WEBAUTH-USER
كيف يمكن استغلال ثغرة جيتيا دوكر؟
يظهر الخطر عندما يفعّل المسؤول خيار المصادقة عبر reverse proxy ويترك الإعدادات الافتراضية كما هي. عندها يستطيع أي طرف يصل مباشرة إلى منفذ HTTP الخاص بالحاوية إرسال الترويسة المخصصة والدخول باسم أي مستخدم يمكن تخمينه.
السيناريو الأخطر يتمثل في استهداف حسابات الإدارة الشائعة مثل admin أو gitea_admin. وإذا كان التسجيل التلقائي مفعلاً، فقد تتحول العملية من انتحال هوية إلى سيطرة أوسع على المنصة خلال وقت قصير.
- الوصول المباشر إلى منفذ الحاوية
- معرفة اسم مستخدم أو تخمينه
- إرسال ترويسة X-WEBAUTH-USER مزيفة
- الحصول على جلسة دخول دون كلمة مرور أو رمز
ما هي الإصدارات المتأثرة وما التحديث المطلوب؟
الثغرة تؤثر في إصدارات صور Gitea Docker حتى الإصدار 1.26.2 وما قبله. أما الإصلاح فقد وصل في الإصدار 1.26.3، حيث أزيلت قيمة النجمة وتم جعل مصادقة reverse proxy خياراً يتطلب تفعيلًا مقصوداً.
وتشير التقديرات إلى وجود نحو 6200 مثيل مكشوف على الإنترنت، وهو رقم يفسر سرعة اهتمام المهاجمين بالثغرة. لذلك تنصح تيكبامين بعدم الاكتفاء بالتحديث فقط، بل مراجعة إعدادات الوكيل العكسي وعزل الوصول المباشر إلى الحاويات.
خطوات الحماية السريعة
- الترقية فوراً إلى Gitea 1.26.3 أو أحدث
- مراجعة قيمة REVERSE_PROXY_TRUSTED_PROXIES
- تعطيل الوصول المباشر غير الضروري إلى منفذ HTTP
- مراقبة السجلات بحثاً عن ترويسات دخول مشبوهة
ماذا تعني هذه التطورات للمؤسسات والمطورين؟
رصد محاولات الاستغلال بعد أقل من أسبوعين من الإعلان يؤكد أن نافذة الاستجابة قصيرة جداً في الثغرات الحرجة. وهذا ينطبق خصوصاً على منصات DevOps التي قد تمنح المهاجمين طريقاً سريعاً إلى المستودعات أو الحسابات الإدارية.
في النهاية، تبقى ثغرة جيتيا دوكر مثالاً واضحاً على خطورة الإعدادات الافتراضية الضعيفة، ولهذا ترى تيكبامين أن التصحيح السريع ومراجعة الثقة بين الخدمات لم يعودا خياراً بل ضرورة تشغيلية يومية.
