Lỗ hổng Gitea có thể làm lộ container riêng tư của hơn 30.000 hệ thống

[WhiteHat Team]

Một lỗ hổng bảo mật vừa được phát hiện trong nền tảng quản lý mã nguồn mở Gitea có thể cho phép tin tặc truy cập trái phép vào các container image riêng tư mà không cần tài khoản, mật khẩu hay bất kỳ hình thức xác thực nào.
​

​

Lỗ hổng được định danh là CVE-2026-27771, có điểm CVSS 8,2/10, ảnh hưởng đến tất cả các phiên bản Gitea trước 1.26.2. Theo các nhà nghiên cứu bảo mật từ Noscope, lỗi này đã tồn tại âm thầm gần 4 năm và có thể ảnh hưởng tới hơn 30.000 hệ thống triển khai Gitea trên toàn cầu.​

Gitea là gì và vì sao lỗ hổng này nguy hiểm?​

Gitea là nền tảng quản lý mã nguồn Git mã nguồn mở, cho phép doanh nghiệp hoặc cá nhân tự triển khai hệ thống lưu trữ code nội bộ tương tự GitHub hoặc GitLab.

Nhiều tổ chức sử dụng Gitea để lưu trữ:​

• Mã nguồn phần mềm nội bộ​
• Container image riêng tư​
• Pipeline CI/CD​
• Công cụ triển khai ứng dụng​
• Thành phần hạ tầng DevOps​

Chính vì vậy, việc lộ container image riêng tư có thể tạo ra nguy cơ nghiêm trọng đối với toàn bộ chuỗi cung ứng phần mềm của doanh nghiệp. Theo Noscope, trên các phiên bản bị ảnh hưởng, cơ chế đánh dấu repository là “private” trong container registry của Gitea thực tế không hoạt động như kỳ vọng.

Điều này đồng nghĩa với việc bất kỳ ai trên Internet cũng có thể tải xuống các container image riêng tư từ hệ thống Gitea bị ảnh hưởng mà không cần đăng nhập.​

Lỗ hổng hoạt động như thế nào?​

Dù các chi tiết kỹ thuật cụ thể chưa được công bố nhằm tránh nguy cơ bị khai thác diện rộng, các nhà nghiên cứu cho biết lỗi nằm trong cơ chế kiểm soát truy cập của container registry trong Gitea. Thông thường, khi một container repository được đặt ở chế độ riêng tư, hệ thống phải yêu cầu xác thực trước khi cho phép tải image.

Tuy nhiên với CVE-2026-27771, cơ chế xác thực này bị bỏ qua trong một số trường hợp, khiến các image vốn được cho là “private” lại có thể bị truy cập công khai như repository public. Điều nguy hiểm là quản trị viên có thể hoàn toàn không nhận ra dữ liệu đang bị lộ do giao diện hệ thống vẫn hiển thị repository ở trạng thái riêng tư.​

Phạm vi ảnh hưởng trải rộng nhiều quốc gia​

Theo thống kê từ Noscope, lỗ hổng ảnh hưởng đến hơn 30.000 hệ thống triển khai tại hơn 30 quốc gia. Các quốc gia có số lượng hệ thống bị ảnh hưởng nhiều nhất bao gồm: Trung Quốc, Mỹ, Đức, Pháp, Anh. Các tổ chức bị ảnh hưởng trải rộng trên nhiều lĩnh vực quan trọng như: Y tế, Hàng không vũ trụ, Hạ tầng bán lẻ, Nhà cung cấp dịch vụ Internet, Công nghệ và phần mềm...

Các chuyên gia cũng cảnh báo rằng không chỉ Gitea mà các dự án fork từ Gitea cũng có thể chịu ảnh hưởng. Trong quá trình kiểm thử, Noscope xác nhận rằng Forgejo cũng tồn tại lỗ hổng tương tự.​

Rủi ro đối với doanh nghiệp là gì?​

Container image thường chứa nhiều thành phần nhạy cảm như:​

• Mã nguồn ứng dụng​
• API key​
• Secret nội bộ​
• Thông tin kết nối cơ sở dữ liệu​
• Công cụ CI/CD​
• Script triển khai hệ thống​

Nếu tin tặc truy cập được các image này, chúng có thể:​

• Phân tích cấu trúc hệ thống nội bộ​
• Tìm kiếm thông tin xác thực bị lộ​
• Phát hiện lỗ hổng trong ứng dụng doanh nghiệp​
• Chèn mã độc vào chuỗi cung ứng phần mềm​
• Tạo điều kiện cho các cuộc tấn công sâu hơn vào hạ tầng công ty​

Trong bối cảnh các cuộc tấn công chuỗi cung ứng ngày càng gia tăng, việc rò rỉ container image riêng tư có thể gây hậu quả nghiêm trọng vượt xa phạm vi một máy chủ đơn lẻ.​

Vì sao lỗ hổng tồn tại quá lâu?​

Theo Noscope, CVE-2026-27771 có khả năng đã tồn tại gần 4 năm trước khi được phát hiện.

Một trong những nguyên nhân khiến lỗi khó bị nhận ra là do giao diện hệ thống vẫn hiển thị repository ở trạng thái “private”, khiến quản trị viên tin rằng dữ liệu đã được bảo vệ đúng cách.

Ngoài ra, container registry thường ít được kiểm tra bảo mật chuyên sâu hơn so với các thành phần quản lý mã nguồn chính, tạo điều kiện cho lỗi tồn tại âm thầm trong thời gian dài.​

Người dùng cần làm gì ngay lúc này?​

Các chuyên gia bảo mật khuyến nghị người dùng Gitea cần cập nhật ngay lên phiên bản 1.26.2 hoặc mới hơn để khắc phục lỗ hổng. Trong trường hợp chưa thể cập nhật ngay, biện pháp tạm thời được đề xuất là bật tùy chọn:​

[service]
REQUIRE_SIGNIN_VIEW=true
​

Thiết lập này sẽ buộc người dùng phải đăng nhập trước khi truy cập nội dung trên hệ thống. Tuy nhiên, giải pháp này có thể gây ảnh hưởng nếu tổ chức đang sử dụng một số container public phục vụ cộng đồng hoặc khách hàng bên ngoài.

Ngoài việc vá lỗi, quản trị viên cũng nên:​

• Kiểm tra log truy cập bất thường​
• Rà soát các container image nhạy cảm​
• Thay đổi secret hoặc token nếu nghi ngờ bị lộ​
• Kiểm tra các hệ thống fork từ Gitea​
• Đánh giá lại toàn bộ chính sách phân quyền container registry​

Lỗ hổng CVE-2026-27771 là lời cảnh báo mới về các rủi ro tiềm ẩn trong chuỗi cung ứng phần mềm hiện đại, đặc biệt khi các nền tảng quản lý mã nguồn và container ngày càng trở thành hạ tầng trọng yếu của doanh nghiệp.

Việc một lỗi tồn tại suốt nhiều năm trong hệ thống nhưng không bị phát hiện cho thấy ngay cả các thành phần được xem là “riêng tư” cũng có thể đang vô tình bị công khai mà tổ chức không hề hay biết.

Trong bối cảnh các cuộc tấn công vào môi trường DevOps và container ngày càng phổ biến, việc cập nhật bản vá và kiểm tra lại toàn bộ cơ chế bảo vệ dữ liệu nội bộ là điều cần được ưu tiên ngay lập tức.​