Gogs

Gogsは、攻撃者がインターネットに公開されているインスタンスを乗っ取り、あらゆるリポジトリ（非公開のリポジトリを含む）にアクセスできる可能性のある、重大なセキュリティ上のゼロデイ脆弱性に対する修正パッチを適用しました。

この引数注入の脆弱性にはまだCVE IDが割り当てられておらず、管理者権限を持たない認証済み攻撃者によってのみ悪用可能であり、0.14.2および0.15.0+devまでのすべてのGogsリリースに影響します。

攻撃者はこの脆弱性を悪用して、標的となったサーバーを乗っ取り、あらゆるリポジトリ（プライベートリポジトリを含む）を読み取り、認証情報を盗み出し、ネットワーク上の他のシステムへ横方向の移動を行い、ホストされているソースコードを改ざんすることが可能です。

image

この脆弱性を悪用するには、少なくとも基本的なユーザー権限が必要ですが、Rapid7のセキュリティ研究者であるJonah Burgess氏（この脆弱性を発見・報告した人物）によると、デフォルト設定のすべてのGogsサーバーが影響を受けるとのことです。

「Gogsはデフォルトで公開登録が有効（DISABLE_REGISTRATION = false）になっており、リポジトリ作成数に制限がない（MAX_CREATION_LIMIT = -1）ため、認証されていない攻撃者は、デフォルト設定のインスタンス上で簡単にアカウントとリポジトリを作成できる」と、Burgess氏は2週間前に警告した。

「リポジトリを作成した登録ユーザーは自動的にその所有者となります。そこから、リベースマージを有効にするには設定で1つのスイッチを切り替えるだけで済み、他のユーザーとのやり取りなしにエクスプロイトの全プロセスを実行することが可能です。」

サイバーセキュリティ企業が複数の状況報告に対して反応がなかったためこの問題を公開してから10日後の週末、Gogsのメンテナは6月7日にバージョン0.14.3をリリースしてこの脆弱性を修正し、CVE IDの割り当てを申請した。

「Rapid7は、すべてのGogsユーザーに対し、直ちにアップグレードすることを推奨します。修正はプルリクエスト#8301を通じて実装されました」とBurgess氏は付け加えた。

Rapid7はまた、Gogsインスタンスを直ちに修正できないユーザー向けの緩和策も共有しました。これには以下の対応が必要です：

  • ユーザー登録を制限する（app.ini内のDISABLE_REGISTRATION = true）。これにより、信頼できないユーザーによるアカウント作成を防止します。この脆弱性の悪用は単一ユーザーのリポジトリ内に限定されるため、これが最も効果的な緩和策となります。
  • リポジトリの作成を制限する（app.iniでMAX_CREATION_LIMIT = 0に設定）。これにより、ユーザーが独自のリポジトリを作成するのを防ぐ。これは管理パネルの「Max Repo Creation」設定を通じてユーザーごとに設定することも可能である。 これにより、最も容易な攻撃経路（リベースが有効な状態で新しいリポジトリを作成すること）は遮断されますが、既存のリポジトリへの書き込み権限を持つユーザーによる悪用を防ぐことはできません。
  • rebase マージ設定の監査：「設定」>「詳細」でリポジトリごとに「マージ前に rebase を実行」を無効にすることは可能ですが、リポジトリを所有している、または管理者権限を持つ悪意のあるユーザーに対しては、彼らが自由に rebase を再有効化できるため、これは効果的な防御策にはなりません。

Go言語で記述され、GitHub EnterpriseやGitLabの代替として設計されたGogsは、リモートコラボレーションプラットフォームとしてオンライン上で公開されることが多い。

インターネットセキュリティ監視機関のShadowserverは現在、インターネットに公開されている2,300台以上のGogsサーバーを追跡しており、その大半はアジア（1,839台）とヨーロッパ（312台）に存在します。一方、ShodanにはGogsのフィンガープリントを持つ1,000件強のIPアドレスがリストされています。

Gogs instances exposed online
オンラインに公開されているGogsインスタンス（ShadowServer）

​Burgess氏はまた、この脆弱性は、Gogsセキュリティチームが近年修正してきた他の引数注入型脆弱性（例：CVE-2024-39933、CVE-2024-39932、CVE-2026-26194、およびCVE-2024-39930）と非常に類似しているが、これまで対処されていなかった別のコードパス（Merge()）に影響を与えると述べた。

2026年12月初旬、Gogsは、数百台のサーバーを侵害するゼロデイ攻撃で悪用された別のRCE脆弱性（CVE-2025-8110）に対してパッチを適用した。

「これらのインスタンスの多くは、デフォルトで『Open Registration』が有効に設定されており、巨大な攻撃対象領域を生み出しています」と、この脆弱性を報告したWizのセキュリティ研究者は述べた。

1月12日、CISAはCVE-2025-8110が実環境で悪用されていることを確認し、これを「現在悪用されている脆弱性」のリストに追加するとともに、連邦文民行政機関（FCEB）に対し、2月2日までの3週間以内にサーバーのセキュリティ対策を講じるよう命じた。

「この種の脆弱性は、悪意のあるサイバー攻撃者にとって頻繁に利用される攻撃ベクトルであり、連邦政府機関にとって重大なリスクをもたらす」と、CISAは当時警告した。