文章总结： Gogs零日漏洞CVE-2025-8110允许攻击者通过符号链接绕过路径验证，实现远程代码执行。该漏洞正被大规模利用，已有超700台服务器被入侵。攻击者通过创建随机仓库并部署恶意载荷控制服务器。由于暂无补丁，管理员应立即禁用公开注册、隔离服务并检查可疑指标以防范风险。
综合评分： 98
文章分类： 漏洞分析,漏洞预警,威胁情报,应急响应,安全大事件
Gogs 零日漏洞 (CVE-2025-8110) 可通过绕过符号链接路径绕过漏洞，对 700 多台服务器构成远程代码执行风险
Ots安全
2025年12月12日 12:10
广东
威胁简报
恶意软件
漏洞攻击
一次例行恶意软件调查意外揭露了一场针对开发者社区的大规模“突袭式”攻击活动。Wiz Threat Research 团队在流行的自托管 Git 服务 Gogs 中发现了一个活跃的零日漏洞，该漏洞将给数千家组织机构造成巨大的安全隐患。
该漏洞编号为 CVE-2025-8110，允许攻击者绕过之前的安全补丁，并在服务器上执行任意代码。截至 2025 年 12 月 1 日，该漏洞仍在被积极利用，官方尚未发布补丁。
此次发现并非始于代码审计，而是源于一次取证调查。“最初对一台受感染机器的例行调查，却意外地发现了一个正在使用的零日漏洞，”报告指出。
在分析一个受损工作负载时，研究人员发现一个 Gogs 实例运行的版本本应是安全的。然而，证据确凿：攻击者利用了一种此前未知的绕过现有防御措施的方法。
这个漏洞是一个典型的补丁未能完全覆盖所有方面的例子。它绕过了 CVE-2024-55947，这是一个路径遍历漏洞，已于今年早些时候修复。虽然最初的修复程序验证了文件路径，但它未能考虑到符号链接（symlinks）——指向其他文件的快捷方式。
研究人员解释说：“出现这种漏洞的原因是 API 在写入文件路径时没有检查目标文件是否实际上是指向存储库外部的符号链接。”
这一疏忽使得攻击变得轻而易举。“任何拥有仓库创建权限的用户都可以轻松利用这一漏洞”。攻击者只需提交一个指向敏感系统文件（例如配置文件）的符号链接，然后通过 API 向该链接写入数据。通过覆盖诸如 .git/config 之类的文件，他们可以强制服务器执行恶意命令。
Wiz扫描了约1400个暴露的Gogs实例，其中超过700个显示出被入侵的迹象。“换句话说，我们观察到的暴露实例中，超过50%显示出被入侵的迹象。”
这些攻击遵循一种独特的自动化模式。受感染的服务器上存在一些存储库，其名称均为“在同一短时间内随机生成的8个字符”，具体时间点为7月10日左右。这些痕迹如此明目张胆地暴露出来，表明这是一场技术简单但有效的“速战速决”式攻击，而非隐蔽的间谍行动。
攻击者一旦入侵系统，就会部署利用 Supershell 框架构建的复杂恶意载荷。这个开源的命令与控制 (C2) 平台会建立一个反向 SSH shell，从而使攻击者能够完全远程控制被入侵的系统。
为了掩盖踪迹，恶意软件作者使用乱码和 UPX 打包技术对二进制文件进行了高度混淆。“这意味着所有类名都被随机化，并且大多数字符串字面量在磁盘上都被加密……这极大地限制了对文件的静态分析。”
由于目前尚无可用补丁，运行 Gogs 的管理员必须迅速采取行动。该报告指出，默认的“开放注册”设置是一个严重漏洞。
需立即采取的行动：
- 禁用公开注册：如果您的实例允许公开注册，请立即关闭此功能。
- 隔离服务：将您自托管的 Git 服务置于 VPN 之后，或将访问限制在 IP 允许列表中。
- 寻找指标：检查您的 Gogs 实例，查找在 7 月 10 日前后创建的、名称为随机 8 个字符的存储库。
END
公众号内容都来自国外平台-所有文章可通过点击阅读原文到达原文地址或参考地址
排版 编辑 | Ots 小安
采集 翻译 | Ots Ai牛马
公众号 | AnQuan7 (Ots安全)
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：Ots安全 《Gogs 零日漏洞 (CVE-2025-8110) 可通过绕过符号链接路径绕过漏洞，对 700 多台服务器构成远程代码执行风险》