Gitea Docker 이미지 치명 취약점 공개…프록시 인증 설정 시 사용자 사칭 위험

Gitea 공식 보안 권고에 따르면 자체 호스팅 Git 서비스 Gitea의 Docker 이미지에서 프록시 인증 설정과 결합될 경우 사용자 사칭으로 이어질 수 있는 치명 취약점 CVE-2026-20896이 확인됐다. 이 취약점은 Gitea Docker 이미지 1.26.2 이하에 영향을 미치며, 패치 버전은 1.26.3 이상이다.

문제는 Docker 이미지에 포함된 app.ini 템플릿의 기본 설정이다. 보안 권고는 해당 템플릿이 REVERSE_PROXY_TRUSTED_PROXIES 값을 와일드카드로 두고 있어, 관리자가 ENABLE_REVERSE_PROXY_AUTHENTICATION을 켠 상태에서 기본값을 그대로 두면 컨테이너 HTTP 포트에 접근할 수 있는 임의의 출처가 X-WEBAUTH-USER 헤더로 사용자를 사칭할 수 있다고 설명했다.

Gitea는 사설 Git 저장소, 이슈, CI/CD 구성, 배포 키와 연결되는 경우가 많다. 따라서 취약 조건이 맞는 배포 환경에서는 단순한 웹 로그인 우회보다 큰 공급망 보안 위험으로 이어질 수 있다. 특히 관리자 계정명이나 일반 사용자 계정명이 알려진 경우에는 저장소 읽기·쓰기 권한과 비공개 코드 접근이 문제가 될 수 있다.

CVE 레코드에 따르면 이 취약점의 CVSS 3.1 기본 점수는 9.8점으로 평가됐다. 공격 벡터는 네트워크이며, 공격 복잡도는 낮고, 권한이나 사용자 상호작용이 필요하지 않은 것으로 기재됐다. 다만 Gitea 바이너리 배포판과 app.example.ini의 기본 설정을 따르는 자체 빌드 배포는 루프백만 신뢰하는 기본값을 사용하므로 같은 방식으로 영향받지 않는다고 공식 권고는 설명했다.

Gitea는 6월 21일 공개한 1.26.3 및 1.26.4 릴리스 안내에서 CVE-2026-20896을 포함한 여러 보안 수정 사항을 공개했다. 1.26.3에서는 역방향 프록시 인증을 선택적으로 켜고 관리자가 직접 설정하도록 변경했으며, 1.26.4는 1.26.3에서 발생한 저장소 코드 페이지 회귀와 추가 보안 수정을 포함한다. 프로젝트 측은 1.26.4로 직접 업그레이드할 것을 권고했다.

운영자는 Gitea Docker 이미지를 1.26.3 이상, 가능하면 1.26.4 이상으로 올리고, 즉시 업그레이드가 어렵다면 REVERSE_PROXY_TRUSTED_PROXIES 값을 실제 신뢰 프록시 IP로 제한해야 한다. 역방향 프록시 인증을 사용하지 않는 환경에서는 관련 인증 헤더 설정을 비활성화하는 점검도 필요하다.

출처: Gitea GitHub Security Advisory https://github.com/go-gitea/gitea/security/advisories/GHSA-f75j-4cw6-rmx4
출처: Gitea Release Notes https://blog.gitea.com/release-of-1.26.3-and-1.26.4/
출처: OpenCVE CVE-2026-20896 https://app.opencve.io/cve/CVE-2026-20896