gogs.io/gogs 内のファイル更新 API における Path Traversal

このパストラバーザル脆弱性は、攻撃者がgogs.io/gogsのファイル更新APIを介して、システム上の任意のファイルにアクセスすることを可能にします。攻撃者は、この脆弱性を悪用して、ソースコード、設定ファイル、データベースファイルなどの機密情報を盗み出す可能性があります。さらに、攻撃者はこのアクセス権を悪用して、システム上で任意のコードを実行したり、他のシステムに侵入するための足がかりにしたりする可能性があります。この脆弱性は、特にファイルストレージやバージョン管理システムをホストするサーバーにとって深刻な脅威となります。

Organizations running self-hosted gogs.io/gogs instances, particularly those with publicly accessible file upload endpoints, are at risk. Environments with weak input validation or insufficient access controls are especially vulnerable.

• linux / server:

find /var/www/gogs -name '*gogs.io/gogs*' -type f -print0 | xargs -0 grep -i 'path..'

• generic web:

curl -I 'http://your-gogs-server/update_file?path=../../../../etc/passwd' # Check for 200 OK response indicating successful access

1. 2025-01-07Disclosure

   disclosure

1. 予約済み2024-12-13
2. 公開日2025-01-07
3. 更新日2026-03-03
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、gogs.io/gogsをバージョン0.13.1にアップデートすることです。アップデートがすぐに実行できない場合は、ファイル更新APIへのアクセスを制限するWAFルールを実装するか、ファイルアップロードの検証を強化することで、攻撃のリスクを軽減できます。また、ファイルアップロードディレクトリのアクセス権を制限し、不要なファイルへのアクセスを防止することも有効です。アップデート後、ファイル更新APIへのアクセスをテストし、脆弱性が修正されていることを確認してください。