文章总结： 文档介绍了Gogs远程命令注入高危漏洞CVE-2025-8110，影响小于0.13.3的版本。攻击者可通过符号链接绕过路径限制，删除.git目录文件并覆写敏感配置，实现远程命令执行。官方已发布0.13.3修复版本，临时缓解措施包括关闭用户注册功能。建议用户尽快升级或采取临时防护措施。
综合评分： 85
文章分类： 漏洞分析,漏洞预警,WEB安全,应用安全,解决方案
Gogs 远程命令注入高危漏洞
安融技术
安融技术
2025年12月12日 11:36
广东
Gogs 是一款开源的自托管 Git 服务，它提供了简单易用的 Web 界面，帮助用户轻松管理代码仓库，支持多种认证方式和权限管理，适用于个人开发者及团队协作。
漏洞概述
• 漏洞编号：CVE-2025-8110。
• 受影响版本：Gogs版本小于0.13.3。
• 漏洞类型：远程命令注入。
• 危害等级：高危，攻击者可利用该漏洞在服务器上执行任意系统命令，可能导致服务器被完全控制、数据泄露或业务系统沦陷。
漏洞原理
• 背景：Gogs是一款基于Go语言开发的开源Git托管平台，提供代码托管、Issue跟踪、权限管理和Webhook等功能。2024年曾出现过CVE-2024-55947漏洞，攻击者可利用其写文件绕过限制，实现远程代码执行。而此次的CVE-2025-8110漏洞，是攻击者通过符号链接绕过了CVE-2024-55947漏洞的修复补丁。
• 具体原理：攻击者可利用Gogs的API，通过创建符号链接，绕过之前的路径限制，删除.git目录下的文件，覆写相关敏感配置，进而实现远程命令执行。攻击者需要拥有用户权限，利用该漏洞可执行任意系统命令，最终控制服务器。
漏洞复现
• 环境搭建：搭建Gogs服务，版本为0.13.2或更低。
• 攻击过程：
• 创建一个新仓库，并在本地克隆该仓库。
• 在本地仓库中创建一个符号链接，指向系统中的某个关键文件或目录，例如ln -s /etc/passwd evil-link。
• 将包含符号链接的文件提交到远程仓库。
• 利用Gogs的API或其他手段触发对符号链接的解析和操作，从而绕过之前的路径限制，实现对系统文件的覆盖或修改，进而执行恶意命令。
• 成功标志：攻击者能够在服务器上执行任意命令，例如在服务器上创建一个文件、修改系统配置等。
修复方案
• 官方修复：官方已发布修复版本，用户应尽快将Gogs升级至0.13.3或更高版本。
• 临时缓解措施：
• 在Gogs配置文件app.ini中关闭用户注册功能，添加或修改[auth]DISABLE_REGISTRATION = true ，然后重启Gogs服务。
• 使用防护设备对漏洞路由进行检测，查看是否存在恶意文件内容或对.git目录的恶意操作。
• 对于有技术能力的用户，可以尝试对相关代码进行修复，确保对路径的处理更加严格，防止符号链接绕过限制。
检测方法
• 版本检查：通过命令gogs –version或访问Gogs服务器的/api/v1/version接口，查看当前运行的Gogs版本是否低于0.13.3。
• 配置检查：检查Gogs配置文件app.ini，确认是否已关闭用户注册功能，即检查[auth]DISABLE_REGISTRATION是否设置为true。
• 网络检测：使用专业的网络安全检测工具或平台，对Gogs服务器的网络流量进行监测，检测是否存在针对该漏洞的攻击行为，如对.git目录的异常访问、可疑的API请求等。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安融技术 安融技术《Gogs 远程命令注入高危漏洞》