CISA melder aktiv utnyttelse av sårbarhet i Gogs

Den amerikanske sikkerhetsmyndigheten CISA har lagt en alvorlig sårbarhet i Gogs inn i katalogen over kjente utnyttede sårbarheter, og bekrefter dermed aktiv utnyttelse. CVE-2025-8110 har CVSS-score 8.7 og skyldes feilaktig håndtering av symbolske lenker i PutContents-API-et i Gogs, noe som kan gi kjøring av vilkårlig kode for autentiserte brukere. Sårbarheten omgår beskyttelsen som ble innført for en tidligere svakhet, CVE-2024-55947, ved at filer utenfor repositoriet kan overskrives via en spesiallaget symbolsk lenke. Alle versjoner til og med 0.13.3 er berørt, og det forelå ingen offisiell rettelse ved publiseringstidspunktet. CISA pålegger føderale virksomheter å gjennomføre tiltak etter direktivet BOD 22-01.

Hva det betyr for virksomheten

Gogs er en utbredt selvhostet Git-tjeneste skrevet i Go, og den står gjerne i et utviklingsmiljø uten det samme tilsynet som forretningssystemene. Når kildekoderepositoriet kan overtas, er både koden og byggekjeden i spill. At det ikke fantes en rettelse betyr at kompenserende tiltak må vurderes framfor å vente på oppdatering.

Berigo anbefaler

• Kartlegg om Gogs er i bruk internt, også i eldre eller uoffisielle utviklingsmiljøer.
• Begrens hvem som kan autentisere seg mot tjenesten, og fjern eksponering mot internett.
• Følg med på leverandørens oppdateringer og bruk kompenserende tiltak i mellomtiden.
• Abonner på KEV-katalogen som fast kilde i egen sårbarhetshåndtering.

Kilde

• cisa.gov
• cisa.gov
• cve.org