Badacze bezpieczeństwa z Wiz ujawnili CVE-2025-8110, krytyczną lukę dotyczącą samodzielnie hostowanych instancji Gogs, popularnej, lekkiej usługi Git szeroko stosowanej w środowiskach lokalnych (on-premises) i chmurowych.
Ta luka jest obejściem wcześniej załatanej podatności RCE (CVE-2024-55947). Pierwotny problem dotyczył path traversal, jednak poprawka nie uwzględniała nadużycia dowiązań symbolicznych, co pozwala atakującym nadpisywać wrażliwe pliki poza repozytorium i wykonywać dowolne polecenia.
Dlaczego to niebezpieczne
- Gogs jest często wystawiony do internetu na potrzeby współpracy
- Łańcuch ataku jest prosty i w pełni zautomatyzowany
- Wiz zidentyfikował ponad 700 przejętych instancji spośród ok. 1400 wystawionych
- Infekcje wykazują identyczne wzorce, co sugeruje jednego, skoordynowanego aktora
- Wykryto Supershell C2, wcześniej powiązany z aktorami zagrożeń z Chin
Jak działa atak
Atakujący:
- Tworzą repozytorium
- Zatwierdzają dowiązanie symboliczne wskazujące poza repozytorium
- Nadużywają API PutContents, aby nadpisać wrażliwe pliki systemowe
- Uzyskują zdalne wykonanie kodu
Obecność dowiązań symbolicznych skutecznie czyni poprzednią poprawkę bezużyteczną.
Zalecenia dotyczące ograniczenia ryzyka (do czasu wydania poprawki)
✔ Wyłącz otwartą rejestrację (ustawienie domyślne)
✔ Ogranicz dostęp (VPN, listy dozwolonych adresów IP)
✔ Monitoruj:
- Repozytoria z losowymi, 8-znakowymi nazwami
- Podejrzaną aktywność API PutContents
✔ Traktuj wystawione instancje jako potencjalnie przejęte
📌 Dotknięte wersje: Gogs ≤ 0.13.3
📌 Status poprawki: ❌ Na chwilę obecną niedostępna
Ten incydent pokazuje realne skutki niepełnych poprawek zabezpieczeń oraz ryzyko związane z wystawioną infrastrukturą programistyczną.
