CVE-2026-27771 en Gitea expone imágenes de contenedor privadas

En la plataforma de control de versiones Gitea se ha identificado la vulnerabilidad CVE-2026-27771, que permite a atacantes remotos no autenticados extraer imágenes de contenedor privadas desde instancias desplegadas de Gitea, sin cuenta, contraseña ni ningún otro tipo de credencial. La vulnerabilidad afecta a todas las versiones de Gitea anteriores a la 1.26.2 y, según los investigadores, también al fork Forgejo. Los administradores de las instalaciones afectadas deben actualizar a la versión 1.26.2 o aplicar una mitigación temporal mediante la configuración.

Detalles técnicos de la vulnerabilidad

El problema se encuentra en el registro de contenedores de Gitea. Según los investigadores de la empresa británica Noscope, quienes publicaron el informe, marcar un repositorio de contenedores como privado en la práctica no proporcionaba la protección de acceso esperada. Cualquier usuario de internet podía realizar una operación pull de imágenes que el administrador consideraba restringidas, y el sistema trataba esas solicitudes como si las imágenes fueran públicas.

Parámetros clave de la vulnerabilidad:

• CVE ID: CVE-2026-27771
• Puntuación CVSS: no asignada en el momento de la publicación
• Productos afectados: Gitea (todas las versiones anteriores a 1.26.2), Forgejo (confirmado mediante pruebas de Noscope)
• Vector de ataque: remoto, sin autenticación
• Estado de explotación: desconocido; la vulnerabilidad no figura en el catálogo CISA KEV

El parche se publicó en la versión Gitea 1.26.2. En el momento de la publicación no se había facilitado un boletín de seguridad detallado independiente por parte de los desarrolladores de Gitea; la información se basa en la nota de la versión y en la investigación de Noscope.

Alcance del impacto

Según las estimaciones de Noscope, la vulnerabilidad afectaría potencialmente a más de 30 000 instancias desplegadas de Gitea en más de 30 países. La mayor concentración de instalaciones vulnerables, de acuerdo con los mismos datos, se encuentra en China, Estados Unidos, Alemania, Francia y el Reino Unido. Entre las organizaciones potencialmente afectadas, los investigadores mencionan centros sanitarios, fabricantes del sector aeroespacial, infraestructuras de retail y proveedores de servicios de internet.

Importante aclaración: estas estimaciones de alcance proceden de una única fuente de investigación y no han sido confirmadas de forma independiente. Noscope también afirma que la vulnerabilidad habría pasado inadvertida durante unos cuatro años; esta estimación temporal tampoco ha sido verificada por terceras partes.

Conviene destacar especialmente que cualquier fork de Gitea debe considerarse potencialmente vulnerable hasta que sus mantenedores realicen una verificación independiente. En sus propias pruebas, Noscope confirmó la presencia de la vulnerabilidad en Forgejo; sin embargo, en el material disponible no se ha encontrado ningún boletín oficial del equipo de Forgejo.

Evaluación de riesgos

La esencia de la vulnerabilidad es la ruptura del control de acceso básico al registro de contenedores. Esto significa que cualquier imagen de contenedor privada alojada en instancias afectadas de Gitea podría haber sido accesible desde el exterior. Consecuencias potenciales:

• Fuga de código propietario y configuraciones: las imágenes de contenedor suelen incluir código fuente de aplicaciones, archivos de configuración e incluso secretos embebidos (claves API, tokens de acceso, cadenas de conexión a bases de datos).
• Reconocimiento para ataques posteriores: el análisis de las imágenes extraídas puede revelar la arquitectura interna, las dependencias utilizadas y sus versiones, lo que facilita la búsqueda de vulnerabilidades adicionales.
• Incumplimiento de requisitos de compliance: para organizaciones de sectores regulados (sanidad, industria aeroespacial), la divulgación no controlada de datos puede acarrear consecuencias regulatorias.

La ausencia de una puntuación CVSS asignada dificulta la priorización formal, pero la naturaleza de la vulnerabilidad —un bypass completo de la autenticación para acceder a datos que el operador considera protegidos— apunta a un alto nivel de gravedad.

Recomendaciones para su corrección

1. Actualizar a Gitea 1.26.2: acción prioritaria. Esta versión corrige la vulnerabilidad CVE-2026-27771.
2. Mitigación temporal (si no es posible actualizar de inmediato): establecer el parámetro [service].REQUIRE_SIGNIN_VIEW=true en la configuración de Gitea. Esto requerirá autenticación para ver cualquier contenido, incluido el registro de contenedores. Debe tenerse en cuenta que este parámetro también bloqueará el acceso a aquellos contenedores que se pretendía mantener públicos.
3. Auditoría de imágenes de contenedor: revise qué imágenes privadas se han alojado en las instancias afectadas. Evalúe si contienen datos sensibles —secretos, credenciales, código propietario— y, si se detectan secretos embebidos, proceda a su rotación.
4. Verificación de los forks: si utiliza Forgejo u otros forks de Gitea, considérelos vulnerables hasta recibir confirmación por parte de los mantenedores del proyecto concreto.
5. Análisis de los registros de acceso: examine los logs del registro de contenedores en busca de solicitudes pull no autenticadas dirigidas a repositorios privados; esto ayudará a valorar si la vulnerabilidad ha sido explotada en su infraestructura.

A los administradores de Gitea que utilicen el registro de contenedores con imágenes privadas, la actualización a la versión 1.26.2 debe considerarse una tarea urgente. Si sus imágenes privadas contenían secretos o credenciales, inicie su rotación en paralelo a la actualización, sin esperar a completar la auditoría exhaustiva.