Eine kritische Gogs-Zero-Day-Schwachstelle wurde behoben, nachdem Forscher einen Fehler entdeckt hatten, der authentifizierten Nutzern die Ausführung beliebigen Codes auf anfälligen Servern ermöglichen konnte. Das Problem betraf den Open-Source-basierten, selbst gehosteten Git-Dienst und setzte Unternehmen dem Risiko einer Serverkompromittierung aus, da Angreifer eine Funktion missbrauchen konnten, die häufig bei Code-Reviews eingesetzt wird.
Sicherheitsforscher warnten davor, dass Angreifer die Schwachstelle mit relativ geringem Aufwand ausnutzen könnten. Deshalb veröffentlichten die Entwickler umgehend Sicherheitsupdates und forderten Administratoren auf, ihre Installationen sofort zu aktualisieren.
Schwachstelle in Pull-Request-Funktion entdeckt
Die Forscher identifizierten den Fehler in der Gogs-Funktion „Rebase before merge“, die Entwickler nutzen, um Codeänderungen aus Pull Requests zu integrieren. Bei ihrer Analyse stellten sie fest, dass Angreifer speziell präparierte Branch-Namen erstellen konnten, die schädliche Befehle enthielten.
Wenn das System den Rebase-Prozess ausführte, konnten diese Befehle direkt auf dem zugrunde liegenden Server ausgeführt werden. Da die Befehle mit den Rechten des Gogs-Dienstes liefen, konnten Angreifer weitreichende Kontrolle über betroffene Systeme erlangen.
Die Schwachstelle erhielt einen CVSS-Wert von 9,4 und fällt damit in die Kategorie „kritisch“.
Angreifer benötigten lediglich ein Standardkonto
Besonders besorgniserregend war die niedrige Hürde für die Ausnutzung der Schwachstelle. Angreifer benötigten keine Administratorrechte, um den Fehler auszunutzen.
In vielen Standardinstallationen konnte ein Bedrohungsakteur einfach ein neues Konto registrieren, ein Repository erstellen und einen manipulierten Pull Request einreichen. Der Angriff erforderte keine besonderen Berechtigungen außer der Möglichkeit, die Plattform als normaler Nutzer zu verwenden.
Dadurch stieg das Risiko für öffentlich erreichbare Gogs-Instanzen erheblich, insbesondere wenn diese öffentliche Registrierungen oder die Zusammenarbeit mit externen Entwicklern zuließen.
Die Forscher betonten, dass eine erfolgreiche Ausnutzung eine vollständige Remote-Code-Ausführung ermöglichen könnte. Angreifer könnten dadurch Malware installieren, sensible Daten stehlen, Repositorys manipulieren oder dauerhaft Zugriff auf kompromittierte Umgebungen erhalten.
Mehr als 1.000 Instanzen könnten betroffen gewesen sein
Sicherheitsforscher identifizierten mehr als 1.100 öffentlich erreichbare Gogs-Instanzen, die zum Zeitpunkt der Offenlegung der Schwachstelle anfällig zu sein schienen. Die tatsächliche Zahl könnte jedoch deutlich höher gewesen sein, da viele Unternehmen private Installationen betreiben, die bei öffentlichen Internetscans nicht sichtbar sind.
Gogs bleibt eine beliebte Wahl für Unternehmen, die mehr Kontrolle über ihre Quellcode-Infrastruktur wünschen. Viele Installationen enthalten interne Projekte, proprietäre Software und Entwicklungsumgebungen, die attraktive Ziele für Angreifer darstellen.
Wenn Angreifer solche Umgebungen kompromittieren, könnten sie Zugriff auf sensiblen Quellcode, Zugangsdaten, Deployment-Pipelines und andere kritische Entwicklungsressourcen erhalten.
Entwickler veröffentlichen Notfall-Patch
Die Schwachstelle wurde zunächst als Zero Day bekannt, bevor ein Patch verfügbar war. Daher wuchs die Sorge, dass Bedrohungsakteure schnell mit Angriffen auf exponierte Server beginnen könnten.
Die Gogs-Entwickler haben inzwischen Updates veröffentlicht, die das Command-Injection-Problem beheben und verhindern, dass manipulierte Branch-Namen eine beliebige Codeausführung auslösen.
Sicherheitsexperten empfehlen Administratoren, die neuesten Updates sofort zu installieren. Darüber hinaus sollten sie Systemprotokolle auf verdächtige Aktivitäten im Zusammenhang mit Pull Requests, unerwartete Kontoanmeldungen oder ungewöhnliche Änderungen an Repositorys prüfen, die auf frühere Angriffsversuche hindeuten könnten.
Fazit
Die Gogs-Zero-Day-Schwachstelle zeigt, wie Sicherheitslücken in Entwicklungsplattformen erhebliche Risiken für Unternehmen verursachen können. Ein Fehler in einer routinemäßig genutzten Funktion zur Codeverwaltung genügte, um Server einer Remote-Code-Ausführung und möglichen Kompromittierung auszusetzen.
Unternehmen, die selbst gehostete Git-Dienste nutzen, sollten anfällige Installationen prioritär aktualisieren und ihre Zugriffsrechte regelmäßig überprüfen. Gleichzeitig richten Angreifer ihren Fokus zunehmend auf Entwicklungsinfrastrukturen, weshalb der Schutz von Quellcodeplattformen ein wichtiger Bestandteil jeder Cybersicherheitsstrategie bleibt.
0 Kommentare zu „Gogs Zero-Day-Patch behebt kritische RCE-Schwachstelle“