【缝隙公告】Gogs 符号链接绕过缝隙导致远程代码执行(CVE-2025-8110)

颁布功夫 2025-12-11

一、缝隙概述


缝霞称

Gogs 符号链接绕过缝隙导致远程代码执行

CVE ID

CVE-2025-8110

缝隙类型

RCE

发现功夫

2025-12-11

缝隙评分

8.7

缝隙等级

高危

攻击向量

网络

所需权限

低

利用难度

低

用户交互

不必要

PoC/EXP

已公开

在野利用

已发现


Gogs是一个轻量级的自托管Git服务，选取Go说话开发，提供类似GitHub的职能，支持Git仓库治理、权限节造、代码浏览等。它以易于部署和低资源亏损著称，合用于幼我和团队搭建私有Git服务。Gogs支持Web界面和API操作，拥有优良的可扩大性，适合在本地服务器或云环境中使用。由于其开源且高效，Gogs在开发者中广受迎接，成为Git解决规划的热点选择。


2025年12月11日，GA黄金甲集团VSRC监测到Gogs符号链接绕过缝隙导致远程代码执行缝隙，该缝隙利用了Gogs对符号链接处置的不当，攻击者可能在Git仓库中创建指向表部敏感文件的符号链接，并通过Gogs API的PutContents接口将数据写入这些文件。由于Gogs未能验证符号链接指标蹊径，攻击者能够覆盖沉要系统文件（如.git/config），从而执行恶意号令。


二、影响领域


Gogs <= 0.13.3


三、安全措施


3.1 升级版本


禁用盛开注册：若是不必要盛开注册职能，当即禁用此职能，预防未经授权的用户创建仓库。

限度网络露出：将Gogs事俘搁置于内网环境，或通过VPN和IP白名单限度表部接见，削减露出风险。
升级Gogs版本：关注Gogs官方颁布的安全补丁，实时升级到建复版本。


3.2 一时措施


暂无。


3.3 通用建议


? 定期更新系统补丁，削减系统缝隙，提升服务器的安全性。

? 加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。
? 使用企业级安全产品，提升企业的网络安全机能。
? 加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。
? 启用强密码战术并设置为定期批改。


3.4 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2025-8110/
https://www.wiz.io/blog/wiz-research-gogs-cve-2025-8110-rce-exploit