Przejdź do treści
Luki i patche

Krytyczna podatność w Gogs zagraża serwerom Git. Brak łatki, administratorzy muszą działać

W popularnym, samo-hostowanym systemie Git Gogs odkryto krytyczną lukę umożliwiającą zdalne wykonanie kodu. Atakujący może przejąć serwer, odczytać repozytoria i dane uwierzytelniające. Producenci nie wydali jeszcze poprawki.

3 min read
An abstract composition of tangled cables forming a tree-like structure, with a single glowing red node at its center, surrounded by faint blue protective barriers that are partially cracked.

W samo-hostowanym systemie kontroli wersji Gogs odkryto krytyczną podatność, która umożliwia zdalne wykonanie kodu. Problem dotyczy domyślnych konfiguracji serwerów na systemach Windows, Linux i macOS. Producenci nie wydali jeszcze oficjalnej poprawki, więc administratorzy muszą samodzielnie zabezpieczyć swoje instalacje.

Co się stało i jaka jest skala zagrożenia

Badacze z firmy Rapid7 ujawnili szczegóły podatności o oznaczeniu CVE-2025-8110 (choć w źródle podano, że to druga luka w ciągu pół roku, pierwsza dotyczyła CVE-2025-8110). Nowa podatność otrzymała maksymalną punktację CVSS 9.4 i jest klasyfikowana jako krytyczna. Jak wyjaśniają badacze, to podatność typu argument injection w mechanizmie pull requestów.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Atakujący może wykorzystać złośliwe nazwy gałęzi (branch) w pull requeście, które wstrzykują flagę –exec do polecenia git rebase. W efekcie po każdym odtworzonym commicie wykonywane jest dowolne polecenie powłoki z uprawnieniami procesu serwera Gogs. Podkreślają badacze: „The result is arbitrary command execution as the Gogs server process user, giving the attacker the ability to compromise the server, read every repository on the instance (including other users’ private repos), dump credentials (password hashes, API tokens, SSH keys, 2FA secrets), pivot to other network-accessible systems, and modify any hosted repository’s code”.

Kto jest zagrożony i jak działa atak

Podatność dotyczy wszystkich domyślnych instalacji Gogs, niezależnie od systemu operacyjnego. Atakujący nie potrzebuje interakcji z innym użytkownikiem – może działać wyłącznie w obrębie własnego konta i repozytorium. Ponieważ Gogs domyślnie włącza otwartą rejestrację i nie ogranicza tworzenia repozytoriów, każdy może założyć konto i repozytorium, a następnie włączyć w nim opcję Rebase before merging (jedno kliknięcie w ustawieniach).

Najbardziej narażone są instancje z wieloma kontami użytkowników, co jest standardem w organizacjach. Atakujący może przejąć serwer, odczytać wszystkie repozytoria (w tym prywatne), wykraść hashe haseł, tokeny API, klucze SSH i sekrety 2FA, a także modyfikować kod w dowolnym repozytorium.

Brak łatki – co robić?

Główny problem polega na tym, że twórcy Gogs zostali poinformowani o podatności w połowie marca 2026 roku, ale do chwili publikacji artykułu (29 maja 2026) nie wydali poprawki. Administratorzy muszą więc polegać na tymczasowych zabezpieczeniach.

Rapid7 opublikowało wskaźniki kompromitacji (IoCs), które mogą pomóc w wykrywaniu ataków. Firma udostępniła także moduł Metasploit automatyzujący cały łańcuch exploitacji – ale to narzędzie przeznaczone jest dla profesjonalnych testerów bezpieczeństwa, nie dla zwykłych administratorów.

Do czasu wydania oficjalnej łatki zaleca się:

  • Wyłączenie otwartej rejestracji – jeśli nie jest niezbędna, ograniczy to możliwość zakładania kont przez osoby nieuprawnione.
  • Blokadę opcji „Rebase before merging” – jeśli to możliwe, wyłącz tę funkcję na poziomie globalnym lub przynajmniej monitoruj, które repozytoria ją włączają.
  • Segmentację sieci – serwer Gogs nie powinien mieć bezpośredniego dostępu do innych krytycznych systemów.
  • Wzmocnienie monitoringu – sprawdzaj logi pod kątem nietypowych poleceń wykonywanych przez proces Gogs.

Kontekst i dalsze kroki

To już druga krytyczna podatność w Gogs ujawniona w ciągu ostatnich sześciu miesięcy. W grudniu 2025 roku badacze z Wiz opisali lukę związaną z symbolic linkami (CVE-2025-8110), która była wykorzystywana jako zero-day przez kilka miesięcy. Powtarzające się problemy z bezpieczeństwem powinny skłonić administratorów do rozważenia migracji na lepiej utrzymywane alternatywy, takie jak Gitea (choć i tam niedawno wykryto podatność dotyczącą obrazów kontenerowych).

Na razie najważniejsze jest wdrożenie tymczasowych zabezpieczeń i śledzenie oficjalnych kanałów Gogs w oczekiwaniu na łatkę. Administratorzy powinni także rozważyć tymczasowe wyłączenie serwera, jeśli nie jest on krytyczny dla działalności.

#bezpieczeństwo serwerów #CVE #Git #Gogs #podatność #RCE
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read