В Gogs обнаружена критическая уязвимость: удалённое выполнение кода через функцию слияния

Специалисты по кибербезопасности обнаружили опасную уязвимость в системе управления Git-репозиториями Gogs. Речь идёт о программном продукте с открытым исходным кодом. Эту платформу активно используют небольшие команды разработчиков и энтузиасты. Она позволяет создавать собственные репозитории для хранения кода. Однако новая проблема ставит под угрозу безопасность этих систем.

Детали уязвимости

Запись в Банке данных угроз безопасности информации (BDU) под номером BDU:2026-09386 описывает уязвимость, которой присвоен идентификатор CVE-2026-52806. Ошибка кроется в функции Merge(). Она отвечает за слияние веток в репозитории. Злоумышленник может отправить специально сформированный запрос на слияние. В результате сервер выполнит произвольный код. Это означает полный захват контроля над уязвимой системой.

Суть проблемы заключается в отсутствии очистки вводимых данных на уровне управления. Иными словами, функция Merge() доверяет данным, которые передаёт пользователь. Она не проверяет их на наличие вредоносных команд. Атакующий использует технику инъекции. Он внедряет команды операционной системы в поля запроса. Сервер исполняет их с теми же правами, что и сам процесс Gogs.

Эксперты оценили критичность уязвимости как чрезвычайно высокую. По шкале CVSS 3.1 она получила 9,9 балла из десяти возможных. Для успешной атаки злоумышленнику нужна лишь минимальная учётная запись в системе. Таким образом, любой пользователь с правом создания запроса на слияние может попытаться выполнить код на сервере. При этом взаимодействие с жертвой не требуется, а сама атака может проводиться удалённо через сеть.

Опасность усиливается тем, что в открытом доступе уже существует готовый код для эксплуатации уязвимости. Его опубликовал исследователь под псевдонимом portbuster1337. Это означает, что злоумышленники могут легко использовать найденную лазейку. Им не нужно самостоятельно разрабатывать методы атаки. Достаточно загрузить скрипт из публичного репозитория.

Под удар попали все версии Gogs вплоть до 0.14.2 включительно. Разработчики из сообщества свободного программного обеспечения уже выпустили исправление. Версия 0.14.3 полностью устраняет проблему. Патч доступен для загрузки на официальном GitHub-репозитории проекта. Администраторам настоятельно рекомендуют как можно скорее обновить свои инсталляции.

Каковы же потенциальные последствия эксплуатации этой уязвимости? Если злоумышленник получит контроль над сервером Gogs, он сможет похитить все хранящиеся репозитории. А это значит, что исходный код проектов, коммерческие наработки, закрытые ключи и конфиденциальная документация окажутся в руках атакующего. Далее следует возможность модифицировать код. Например, внедрить в приложение "закладки" или программы-вымогатели (ransomware). Компрометация сервера Gogs также позволяет атакующему перемещаться внутри сети и атаковать другие системы.

Примечательно, что уязвимость относится к категории внедрения команд (CWE-77). Это классический тип ошибок, который возникает, когда приложение передаёт пользовательский ввод напрямую в командный интерпретатор. Разработчики часто недооценивают риски. Они не фильтруют специальные символы, такие как точка с запятой или амперсанд. В результате злоумышленник может завершить одну команду и запустить свою собственную.

Для тех, кто использует Gogs в производственной среде, критически важно действовать быстро. Во-первых, необходимо обновить программное обеспечение до версии 0.14.3. Во-вторых, стоит временно ограничить права на создание запросов на слияние для обычных пользователей, если патч ещё не установлен. В-третьих, следует провести аудит логов на предмет подозрительной активности, связанной с функцией Merge(). Уязвимости в системах управления кодом представляют особую опасность. Они находятся в центре цепочек поставки программного обеспечения. Её компрометация может затронуть множество проектов, которые используют взломанный репозиторий. Поэтому реагировать на подобные угрозы нужно незамедлительно.

Ситуация напоминает о фундаментальном принципе безопасности: никогда не доверяй пользовательским данным. Каждый ввод должен проходить проверку и очистку. Особенно если эти данные попадают в командную строку. Инцидент с Gogs - ещё одно напоминание для разработчиков о необходимости внедрения безопасных практик написания кода.

Администраторам, которые не могут немедленно выполнить обновление, следует рассмотреть временные меры защиты. Например, ограничение сетевого доступа к веб-интерфейсу Gogs только для доверенных IP-адресов. Также имеет смысл включить системы обнаружения вторжений (IDS), чтобы выявлять попытки эксплуатации.

Тем не менее, самым надёжным способом защиты остаётся установка обновления. Только полное закрытие уязвимости гарантирует безопасность. Промедление в данном случае грозит не только утечкой данных, но и полной компрометацией инфраструктуры.

Детали уязвимости

Ссылки