Gogs のファイル書き込みAPIでコード実行（悪用確認済み）

High（CVSS 8.8）に分類されるGogs Gogsの脆弱性です。セルフホスト型の Git サービス Gogs で、PutContents API のシンボリックリンクの扱いが不適切なため、コードの実行が可能になる。NVD の説明は一行のみで詳細な手順は書かれていないが、要点はリポジトリへファイルを書き込む API がシンボリックリンクを解決してしまうことで、リポジトリの外へ書き込みが及び、Gogs プロセスの権限で置いたファイルが実行される経路が生まれるところである。攻撃には認証が必要（CVSS の PR:L）だが、Gogs は登録を開けて運用されることが多く、その場合は事実上誰でも前提を満たせる。影響範囲は CPE で 0.13.3 以下とされており、公開時点の最新系列を含む。CVSS は NVD（Primary）が 8.8 High（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA が CVSS 4.0 で 8.7 High（AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A）で、深刻度の判断は一致しており、CNA 側は E:A すなわち攻撃が確認済みという評価を付けている。CISA KEV には 2026-01-12 に収載され、是正期限は 2026-02-02、ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。参照には修正コミット 553707f3fd5f68f47f531cfcff56aa3ec294c6f6 と該当プルリクエスト 8078、および第三者による RCE の実証記事が挙がっている。

判定は簡単で、Gogs を動かしているかどうかと版の確認だけである。版は管理画面のフッターか gogs --version、コンテナならイメージタグとバイナリの版で確認し、0.13.3 以下なら該当する。CPE の範囲が最新系列まで及んでいるため、素直に更新して終わる話にはなりにくく、修正コミットを取り込んだ公式リリースが出ているかを Gogs のリリースページで確認する必要がある。見落としやすいのは、GitHub や GitLab へ移行したあとも参照用として残してある旧 Gogs、個人が立てた社内ミラー、そして NAS やホームサーバのアプリカタログから入れたものである。すぐに更新できない場合の緩和策は、攻撃の前提である認証済みアカウントとネットワーク到達性を潰す方向になる。具体的には、新規登録を無効化して未知のアカウントが作られない状態にし、インターネットからの到達を止めて VPN や送信元 IP 制限の内側に置き、外部公開が必要なら書き込み系 API を通す利用者を信頼できる範囲に限定する。加えて Gogs のプロセスを専用の低権限ユーザーで動かし、書き込み可能な領域をリポジトリ用ディレクトリに限ることで、リポジトリ外への書き込みが成立しても被害を狭められる。完了条件は、（1）修正コミットを含む公式リリース版へ上がっていること（版が確認できるまでは公式で要確認）、（2）未認証でインターネットから到達できる Gogs が無いこと、の2点である。KEV 収載済みで、CNA も攻撃の実在を評価に織り込んでいるため、更新だけで終わらせるべきではない。是正期限 2026-02-02 は既に大きく過ぎているので、残存インスタンスは期限超過として扱い、リポジトリ外に置かれた不審なファイル、Gogs の実行ユーザーの authorized_keys や cron、アクセスログ上の PutContents 相当の呼び出しを確認し、保管されていた SSH 鍵とアクセストークンは再発行する。

Gogs Gogs を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-8110）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/02 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。