CVE-2026-58053: Kritisk fejl i Gitea act_runner

Sårbarheden findes i Gitea act_runner, programmet der afvikler automatiserede arbejdsgange (workflows) i Docker-containere. Når et workflow sætter privileged: false, forventes containeren at køre uden udvidede rettigheder. Fejlen betyder, at andre indstillinger i workflowets container.options, som –pid=host, –cap-add og –security-opt, alligevel gives uændret videre til Dockers HostConfig, den konfiguration der styrer containerens adgang til værtsmaskinen. En bruger, der kan afvikle et workflow på en Docker-baseret runner, kan derfor bygge en container med adgang til værtens navnerum og udvidede rettigheder og på den måde bryde ud af containeren og få root-adgang til selve serveren, selv om privilegeret tilstand er slået fra.

Sårbarheden rammer virksomheder og kommuner, der selv hoster Gitea med Actions og bruger Docker som backend til at afvikle CI/CD-arbejdsgange, altså automatiseret bygning og test af kode. Det gælder alle versioner af act_runner til og med 0.262.0. Bruger I ikke Gitea Actions, eller kører I runnere med en anden backend end Docker, er I ikke berørt.

En intern medarbejder, en ekstern bidragyder til et projekt eller en angriber, der har fået adgang til at oprette eller ændre et workflow, kan udnytte fejlen til at få fuld kontrol over serveren, hvor runneren kører. Herfra kan angriberen læse hemmeligheder og adgangskoder til andre projekter, ændre kildekode i andre repositorier og bevæge sig videre til andre systemer på netværket. For en dansk virksomhed, der bruger Gitea til flere projekter på samme runner, kan et enkelt kompromitteret workflow dermed lukke op for hele udviklingsinfrastrukturen.

CVSS-scoren er 9,9 af 10, kritisk. Angrebet kræver kun lave rettigheder, adgang til at oprette eller afvikle et workflow, og ingen brugerinteraktion fra andre. Det kan udføres over netværket, og konsekvensen er fuldt tab af fortrolighed, integritet og tilgængelighed, fordi angriberen ender med root-adgang til værtsserveren. Der er ikke offentligt kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen, men fejlen er enkel at udnytte for enhver, der allerede kan sende et workflow til runneren.

Sådan lukker I hullet og begrænser skaden:

1. Opdatér act_runner til den nyeste version, hvor fejlen er rettet, så container.options ikke længere kan omgå privileged: false.
2. Gennemgå, hvem der kan oprette eller ændre workflows i jeres Gitea-instans, og begræns rettigheden til betroede medarbejdere.
3. Isoler Docker-runneren på et separat netværkssegment uden adgang til andre systemer eller hemmeligheder, indtil opdateringen er gennemført.
4. Gennemgå logs for runneren for uventede workflows eller containere med usædvanlige HostConfig-indstillinger.
5. Overvej midlertidigt at skifte til en anden runner-backend end Docker, hvis I ikke kan opdatere med det samme.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at verificere opdateringen eller undersøge, om jeres runner allerede er misbrugt.