【缝隙公告】Gogs 符号链接绕过缝隙导致远程代码执行(CVE-2025-8110)

颁布功夫 2025-12-11

一、缝隙概述


缝霞称

Gogs 符号链接绕过缝隙导致远程代码执行

CVE ID

CVE-2025-8110

缝隙类型

RCE

发现功夫

2025-12-11

缝隙评分

8.7

缝隙等级

高危

攻击向量

网络

所需权限

低

利用难度

低

用户交互

不必要

PoC/EXP

已公开

在野利用

已发现


Gogs是一个轻量级的自托管Git服务， ，，， ，，，选取Go说话开发， ，，， ，，，提供类似GitHub的职能， ，，， ，，，支持Git仓库治理、权限节造、代码浏览等。。。。。它以易于部署和低资源亏损著称， ，，， ，，，合用于幼我和团队搭建私有Git服务。。。。。Gogs支持Web界面和API操作， ，，， ，，，拥有优良的可扩大性， ，，， ，，，适合在本地服务器或云环境中使用。。。。。由于其开源且高效， ，，， ，，，Gogs在开发者中广受欢迎， ，，， ，，，成为Git解决规划的热点选择。。。。。


2025年12月11日， ，，， ，，，8827太阳集团集团VSRC监测到Gogs符号链接绕过缝隙导致远程代码执行缝隙， ，，， ，，，该缝隙利用了Gogs对符号链接处置的不当， ，，， ，，，攻击者可能在Git仓库中创建指向表部敏感文件的符号链接， ，，， ，，，并通过Gogs API的PutContents接口将数据写入这些文件。。。。。由于Gogs未能验证符号链接指标蹊径， ，，， ，，，攻击者能够覆盖沉要系统文件（如.git/config）， ，，， ，，，从而执行恶意号令。。。。。


二、影响领域


Gogs <= 0.13.3


三、安全措施


3.1 升级版本


禁用盛开注册：若是不必要盛开注册职能， ，，， ，，，立即禁用此职能， ，，， ，，，预防未经授权的用户创建仓库。。。。。

限度网络露出：将Gogs事俘搁置于内网环境， ，，， ，，，或通过VPN和IP白名单限度表部接见， ，，， ，，，削减露出风险。。。。。
升级Gogs版本：关注Gogs官方颁布的安全补丁， ，，， ，，，实时升级到建复版本。。。。。


3.2 一时措施


暂无。。。。。


3.3 通用建议


? 定期更新系统补丁， ，，， ，，，削减系统缝隙， ，，， ，，，提升服务器的安全性。。。。。

? 加强系统和网络的接见节造， ，，， ，，，批改防火墙战术， ，，， ，，，关关非必要的利用端口或服务， ，，， ，，，削减将危险服务（如SSH、RDP等）露出到公网， ，，， ，，，削减攻击面。。。。。
? 使用企业级安全产品， ，，， ，，，提升企业的网络安全机能。。。。。
? 加强系统用户和权限治理， ，，， ，，，启用多成分认证机造和最幼权限准则， ，，， ，，，用户和软件权限应维持在最低限度。。。。。
? 启用强密码战术并设置为定期批改。。。。。


3.4 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2025-8110/
https://www.wiz.io/blog/wiz-research-gogs-cve-2025-8110-rce-exploit