En kritisk Gogs-nulldagssårbarhet har blitt rettet etter at forskere oppdaget en feil som kunne gjøre det mulig for autentiserte brukere å kjøre vilkårlig kode på sårbare servere. Problemet påvirket den åpne, selvhostede Git-tjenesten og utsatte organisasjoner for risiko fordi angripere kunne kompromittere servere gjennom en funksjon som ofte brukes under kodegjennomganger.
Sikkerhetsforskere advarte om at angripere kunne utnytte sårbarheten med relativt liten innsats. Derfor lanserte utviklerne sikkerhetsoppdateringer raskt og oppfordret administratorer til å oppdatere installasjonene sine umiddelbart.
Sårbarhet funnet i funksjon for pull requests
Forskerne identifiserte feilen i Gogs-funksjonen «Rebase before merge», som utviklere bruker for å integrere kodeendringer fra pull requests. Under analysen oppdaget de at angripere kunne opprette spesialutformede grennavn som inneholdt skadelige kommandoer.
Når systemet gjennomførte rebase-prosessen, kunne disse kommandoene kjøre direkte på den underliggende serveren. Siden kommandoene kjørte med de samme rettighetene som Gogs-tjenesten, kunne angripere oppnå omfattende kontroll over de berørte systemene.
Sårbarheten fikk en CVSS-score på 9,4, noe som plasserer den i kategorien for kritiske sårbarheter.
Angripere trengte bare en vanlig konto
En av de mest bekymringsfulle sidene ved Gogs-nulldagen var den lave terskelen for utnyttelse. Angripere trengte ikke administratorrettigheter for å misbruke feilen.
I mange standardinstallasjoner kunne en trusselaktør registrere en ny konto, opprette et repository og sende inn en skadelig pull request. Angrepet krevde ingen spesielle tillatelser utover muligheten til å bruke plattformen som en vanlig bruker.
Dette økte risikoen betydelig for internett-eksponerte Gogs-installasjoner som tillot offentlige registreringer eller samarbeid med eksterne utviklere.
Forskerne påpekte at et vellykket angrep kunne gi full ekstern kodekjøring. Dermed kunne angripere installere skadevare, stjele sensitiv informasjon, endre kodearkiver eller etablere langvarig tilgang i kompromitterte miljøer.
Over 1 000 instanser kan ha vært eksponert
Sikkerhetsforskere identifiserte mer enn 1 100 offentlig tilgjengelige Gogs-instanser som så ut til å være sårbare da detaljene om feilen ble kjent. Det faktiske antallet kan imidlertid ha vært betydelig høyere fordi mange organisasjoner bruker private installasjoner som ikke er synlige gjennom offentlige internett-skanninger.
Gogs er fortsatt et populært valg for organisasjoner som ønsker større kontroll over sin kildekodeinfrastruktur. Mange installasjoner inneholder interne prosjekter, proprietær programvare og utviklingsmiljøer som kan være attraktive mål for angripere.
Hvis angripere kompromitterer slike miljøer, kan de få tilgang til sensitiv kildekode, legitimasjon, distribusjonspipelines og andre kritiske utviklingsressurser.
Utviklerne lanserte en hasteoppdatering
Sårbarheten ble først offentliggjort som en nulldagssårbarhet før det fantes en tilgjengelig rettelse. Derfor vokste bekymringen for at trusselaktører raskt ville begynne å angripe eksponerte servere.
Gogs-utviklerne har nå lansert oppdateringer som retter kommandoinjeksjonsproblemet og hindrer skadelige grennavn i å utløse vilkårlig kodekjøring.
Sikkerhetseksperter anbefaler at administratorer installerer de nyeste oppdateringene umiddelbart. I tillegg bør de gjennomgå systemlogger for mistenkelig aktivitet knyttet til pull requests, uventede kontoregistreringer eller uvanlige endringer i kodearkiver som kan indikere tidligere innbruddsforsøk.
Konklusjon
Gogs-nulldagen viser hvordan sårbarheter i utviklingsplattformer kan skape alvorlige sikkerhetsrisikoer for organisasjoner. En feil i en rutinemessig funksjon for kodehåndtering var nok til å utsette servere for ekstern kodekjøring og potensiell kompromittering.
Organisasjoner som bruker selvhostede Git-tjenester bør prioritere oppdatering av sårbare installasjoner og jevnlig gjennomgå tilgangskontroller. Samtidig fortsetter angripere å rette seg mot utviklingsinfrastruktur, noe som gjør beskyttelsen av kildekodeplattformer til en viktig del av det overordnede cybersikkerhetsarbeidet.
0 responses to “Gogs nulldagspatch retter kritisk RCE-sårbarhet”