CVE-2025-8110
Gogs Path Traversal Vulnerability
Beschreibung
CVE-2025-8110 ist eine schwerwiegende Path-Traversal-Schwachstelle (CVSS 8.8 HIGH) in Gogs, einer beliebten selbst-gehosteten Git-Hosting-Plattform. Durch fehlerhafte Behandlung symbolischer Links in der PutContents-API kann ein authentifizierter Angreifer beliebigen Code auf dem Server ausführen. Die Schwachstelle wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen und betrifft alle Gogs-Versionen bis einschließlich 0.13.3. Mit einem EPSS-Wert von 26,548 % (96,2. Perzentil) gehört sie zu den am häufigsten ausgenutzten Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| gogs | gogs | <= 0.13.3 |
Referenzen
- http://wiz.io/blog/wiz-research-gogs-cve-2025-8110-rce-exploit(Exploit, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2025/12/11/3(Mailing List)
- http://www.openwall.com/lists/oss-security/2025/12/11/4(Mailing List)
- http://www.openwall.com/lists/oss-security/2026/01/17/4(Mailing List)
- http://www.openwall.com/lists/oss-security/2026/01/18/1(Mailing List)
- http://www.openwall.com/lists/oss-security/2026/01/18/2(Mailing List)
- https://github.com/gogs/gogs/commit/553707f3fd5f68f47f531cfcff56aa3ec294c6f6(Patch)
- https://github.com/gogs/gogs/pull/8078(Exploit, Issue Tracking, Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-8110(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-22: Improper Limitation of a Pathname to a Restricted Directory (Path Traversal)
CWE-22 beschreibt Schwachstellen, bei denen eine Anwendung externe Eingaben zur Konstruktion von Dateipfaden verwendet, ohne diese ausreichend zu validieren. Angreifer können durch Manipulation von Pfadangaben (z.B. durch symbolische Links oder "../"-Sequenzen) auf Dateien außerhalb des vorgesehenen Verzeichnisses zugreifen. Im Fall von CVE-2025-8110 wird die fehlerhafte Behandlung von Symlinks in der PutContents-API ausgenutzt, um Dateien außerhalb des Git-Repositories zu schreiben und so Code-Ausführung zu erlangen. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-8110 sind schwerwiegend, da alle drei Sicherheitsdimensionen maximal betroffen sind (C:H/I:H/A:H). Vertraulichkeit: Angreifer können durch die Code-Ausführung sämtliche auf dem Gogs-Server gespeicherten Daten einsehen, einschließlich aller gehosteten Repositories, Zugangsdaten und Konfigurationen. Integrität: Beliebige Dateien können modifiziert werden, was es Angreifern ermöglicht, Schadcode in Repositories einzuschleusen oder Backdoors zu installieren. Verfügbarkeit: Der Server kann vollständig kompromittiert und außer Betrieb gesetzt werden. Obwohl eine niedrige Authentifizierung erforderlich ist (PR:L), reicht ein reguläres Benutzerkonto auf der Gogs-Instanz aus. Da Gogs häufig mit Selbstregistrierung betrieben wird, ist diese Hürde in der Praxis oft minimal. Der EPSS-Wert von 26,548 % (96,2. Perzentil) ist außergewöhnlich hoch und zeigt eine massive aktive Ausnutzung. Die Aufnahme in den KEV-Katalog mit Frist zum 2. Februar 2026 bestätigt dies. Der Ransomware-Status ist als "Unknown" klassifiziert.
Exploit-Reifegrad
Die Exploit-Reife für CVE-2025-8110 ist sehr hoch. Die Schwachstelle ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 2. Februar 2026 gelistet, und der EPSS-Wert von 26,548 % (96,2. Perzentil) belegt eine massive Ausnutzungswahrscheinlichkeit. Öffentlich verfügbare Exploits existieren, darunter ein detaillierter Forschungsbericht von Wiz, der die Ausnutzung im Detail beschreibt. Zudem wurde ein Patch und Exploit-Nachweis über GitHub veröffentlicht. Die Schwachstelle wurde auf mehreren Sicherheits-Mailinglisten (oss-security) diskutiert, was die breite Bekanntheit in der Angreifer-Community unterstreicht. Der Ransomware-Zusammenhang ist als "Unknown" eingestuft.
Behebung
- Gogs aktualisieren oder migrieren -- Da alle Versionen bis einschließlich 0.13.3 betroffen sind, prüfen Sie, ob ein offizieller Patch über den GitHub-Commit verfügbar ist. Falls kein aktualisiertes Release vorliegt, erwägen Sie die Migration zu einer alternativen Git-Hosting-Lösung wie Gitea.
- Netzwerkzugang einschränken -- Beschränken Sie den Zugriff auf die Gogs-Instanz auf vertrauenswürdige Netzwerke und IP-Adressen mittels Firewall-Regeln. Deaktivieren Sie die öffentliche Selbstregistrierung.
- Symbolische Links in Repositories prüfen -- Überprüfen Sie vorhandene Repositories auf verdächtige symbolische Links, die auf Systemdateien oder -verzeichnisse außerhalb des Repository-Bereichs verweisen.
- Systemintegrität verifizieren -- Angesichts der aktiven Ausnutzung sollten bestehende Gogs-Server auf Anzeichen einer Kompromittierung untersucht werden, insbesondere auf unerwartete Dateien, Prozesse und Netzwerkverbindungen.
- Monitoring implementieren -- Überwachen Sie API-Aufrufe an die PutContents-Schnittstelle und protokollieren Sie alle Dateisystem-Operationen des Gogs-Prozesses.
Technische Details
Der CVSS v3.1-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H ergibt einen Score von 8.8 (HIGH). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, sodass jeder Angreifer mit Zugriff auf die Gogs-Weboberfläche diese ausnutzen kann. Angriffskomplexität (AC:L): Die Ausnutzung ist technisch einfach und erfordert keine besonderen Bedingungen. Erforderliche Privilegien (PR:L): Ein reguläres Benutzerkonto auf der Gogs-Instanz ist erforderlich, was bei aktivierter Selbstregistrierung leicht zu erlangen ist. Benutzerinteraktion (UI:N): Keine Mitwirkung eines anderen Benutzers ist nötig. Der Angriff nutzt eine fehlerhafte Behandlung symbolischer Links in der PutContents-API von Gogs aus. Ein Angreifer erstellt zunächst einen symbolischen Link innerhalb eines Repositories, der auf ein Verzeichnis außerhalb des Repository-Stammpfads zeigt. Anschließend wird über die PutContents-API eine Datei geschrieben, die dem symbolischen Link folgt und somit an einer beliebigen Stelle im Dateisystem des Servers platziert wird. Durch das Schreiben einer ausführbaren Datei oder die Manipulation von Konfigurationsdateien kann der Angreifer Code-Ausführung auf dem Server erlangen.
Häufig gestellte Fragen
Was ist CVE-2025-8110?
CVE-2025-8110 ist eine Path-Traversal-Schwachstelle in Gogs, einer selbst-gehosteten Git-Plattform. Durch Ausnutzung fehlerhafter Symlink-Behandlung in der PutContents-API kann ein authentifizierter Angreifer beliebige Dateien auf dem Server schreiben und dadurch Code ausführen.
Welche Gogs-Versionen sind betroffen?
Alle Gogs-Versionen bis einschließlich 0.13.3 sind betroffen. Es gibt einen Patch-Commit auf GitHub, jedoch sollte geprüft werden, ob ein offizielles Release mit dem Fix verfügbar ist.
Warum ist der EPSS-Wert so hoch?
Mit 26,548 % liegt der EPSS-Wert im 96,2. Perzentil, was durch die Kombination aus öffentlich verfügbaren Exploits, einfacher Ausnutzung und der Verbreitung von Gogs-Instanzen im Internet erklärt wird. Öffentliche Forschungsberichte und Exploit-Code beschleunigen die Verbreitung.
Sollte ich von Gogs zu einer Alternative wechseln?
Wenn kein zeitnahes offizielles Update verfügbar ist, kann eine Migration zu Gitea oder einer anderen aktiv gepflegten Git-Hosting-Lösung sinnvoll sein. Gitea ist ein Fork von Gogs mit aktiver Community und regelmäßigen Sicherheitsupdates.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.