Gogs PR Pre-merge Rebase Remote Code Execution (RCE) Vulnerability Analysis and PoC

Gogs: 通过 git rebase --exec 参数注入在 PR 合并中的远程代码执行 (RCE) 漏洞概述 Gogs 允许经过身份验证的用户通过在合并拉取请求（Pull Request, PR）期间，使用特制的分支名称将 标志注入到 命令中，从而在服务器上实现远程代码执行 (RCE)。 影响范围 受影响版本: Gogs 0.14.2（最新支持版本）、Gogs 0.15.0+dev（自 2023-03-16 以来的主分支）以及所有支持“合并前变基”风格的先前版本。 严重程度: 严重 - CVSS 3.1 基础评分: 9.9 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) 影响: - 服务器被入侵: 以 Gogs 进程用户身份执行任意命令。 - 跨租户数据泄露: 读取实例上所有仓库，包括其他用户的私有仓库。 - 凭证窃取: 访问包含密码哈希、API 令牌、SSH 密钥和 2FA 秘密的数据库。 - 横向移动: 从服务器网络访问其他系统。 - 供应链攻击: 修改托管仓库的代码。 修复方案 主要修复: 在 命令中添加 分隔符。 防御性措施: 验证分支名称，拒绝以 开头的分支名称。 额外加固: 对所有其他 调用应用 分隔符。 概念验证 (PoC) 代码 库（v1.8.7）已在 、 、 以及其他 28 个调用点中通过 进行了加固。然而， 中的 函数绕过了所有这些保护措施，因为它直接使用了原始进程 （直接封装 ），而不是使用安全的 git-module API。 调用从未被迁移。值得注意的是， 也缺少 ——这是一个独立的缺陷，恰好导致了本漏洞利用的 竞态条件（参见上文“为什么 PR 变得可合并”）。 受影响平台: Linux、macOS、Windows 安装方式: 预构建二进制文件、Docker、源代码 CVSS v3 基础指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需权限: 低 - 用户交互: 无 - 范围: 已更改 - 机密性: 高 - 完整性: 高 - 可用性: 高 CVE ID: CVE-2026-52006 弱点: CWE-77 致谢: Crypto-Cat 严重程度: 严重 CVSS v3 基础指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需权限: 低 - 用户交互: 无 - 范围: 已更改 - 机密性: 高 - 完整性: 高 - 可用性: 高 CVE ID: CVE-2026-52006 弱点: CWE-77 致谢: Crypto-Cat 受影响版本: - Gogs 0.14.2（最新支持版本） - Gogs 0.15.0+dev（提交 855d162，2023-03-16 时的主分支） - 所有支持“合并前变基”合并风格的先前版本 影响: - 服务器被入侵: 以 Gogs 进程用户身份执行任意命令 - 跨租户数据泄露: 读取实例上所有仓库，包括其他用户的私有仓库 - 凭证窃取: 访问包含所有用户的密码哈希、API 令牌、SSH 密钥和 2FA 秘密的数据库 - 横向移动: 从服务器网络横向移动至其他可访问的系统 - 供应链攻击: 悄悄修改任何托管仓库的代码。Gogs 进程用户（通常为 ）对实例上位于单一 目录（默认： ）下的每个仓库都有直接的文件系统读写访问权限。仓库之间没有操作系统层面的隔离；所有访问控制仅在应用层实现。 前置条件: 攻击者需要具备以下任一条件： - 对任何仓库具有仓库管理员权限（可以启用变基 + 创建 PR + 合并）——任何创建仓库的用户默认具有此权限 - 对某个仓库具有写入访问权限，且该仓库的所有者已启用“合并前变基”（可以创建恶意分支 + PR + 合并） 根本原因分析: - 在 中， 函数将 PR 的基础分支名称作为位置参数传递给 ，而没有使用 分隔符。 - 的值源自 中的 参数。 - 和 均通过 （定义在外部 库中）进行验证，但这仅调用 ——它检查该 ref 是否解析为有效的 git 对象，而不是检查它是否对参数注入安全。由于攻击者将恶意分支名称推送到仓库， 会成功，因为该 ref 确实存在。该值存储在数据库中，随后直接传递给 命令，而没有 分隔符。 利用方式: - Git 分支名称可以合法地包含字符 、 、 、 、 、 、 。攻击者创建一个名为以下名称的分支： - - 当它作为 rebase 命令中的 使用时： - - 1. Git 的参数解析器将 视为 标志 - 2. 标志指定了一个命令，在每个重放的提交之后通过 执行 - 3. 在 shell 中， 展开为空格，从而绕过了 git 对分支名称中空格的限制 - 4. 命令 以 Gogs 服务器进程用户身份执行 - 对于包含 git refs 中禁止使用的字符（ 、 、 、 、 、 、 ）的命令，例如 URL，攻击者对负载进行 base64 编码： - - 例如， 变为： - - 这已通过端到端验证：一个带有 URL 的 命令在 Docker 容器内执行，并将获取的 HTML 写入磁盘。 Merge() 中的完整执行流程: - 中的 rebase 代码路径按顺序执行以下 git 命令： - 步骤 1: - 成功（ 将 作为分支值消耗） - 步骤 2: - 正常成功 - 步骤 3: - RCE 在此处触发（ 被解析为标志，命令通过 执行） - 步骤 4: - 成功（ 是服务器生成的时间戳） - 步骤 5: - 失败 - git 将 解释为 checkout 的无效选项 - 步骤 5 的失败导致 返回错误（HTTP 500），但 RCE 已经在步骤 3 中执行完毕。500 错误会被记录，但不会阻止利用。防御者可以在服务器日志中查找此 IOC： - - 此错误通过 在 ERROR 级别记录。 为什么 PR 变得可合并: - 函数（在 PR 创建时于第 468 行调用）调用 （ ），该函数有两个代码路径： - 本地副本不存在（针对该仓库的首次调用）：调用 （第 664 行），其中包含 - 恶意分支名称被视为数据，clone 成功， 正常完成。 - 本地副本已存在（后续调用）：调用 （第 694 行），其中缺少 - git 将 解释为标志 - checkout 失败 - 返回错误。 - 该漏洞利用依赖于以下因果链： 1. 在 PR 创建期间（ ，第 468 行），调用 。对于没有本地副本的新仓库，Clone 路径成功。 2. 由于 未将状态设置为 ，状态保持为 ，而第 472-473 行的代码将其提升为 。 3. 后台 协程（第 461 行）定期重新检查 PR。当它再次调用 时，本地副本已存在，因此 采取 Checkout 路径 - 失败 - 返回错误。 4. 此错误导致 跳过将 PR 添加到更新列表（第 655 行 ）或跳过 （第 677 行 continue）。由于从未调用 ，PR 状态将无限期保持在 Mergeable 状态。 - PoC 通过创建一个新仓库（尚无本地副本）来处理此问题，确保首次 通过 Clone 路径成功。 概念验证（Proof of Concept）: - 一个独立的 Python 利用工具（ ）已附在本公告中。它自动化了完整的利用链（认证、创建仓库、启用变基、交付负载、创建 PR、触发合并和清理），并支持 Linux 和 Windows 目标。需要 Python 3.8+、 和本地 git 安装。 手动浏览器复现: - 这可以完全通过 Gogs Web UI 复现。 - 前置条件: 一个正在运行的 Gogs 实例（例如 ），并注册一个用户账户。 - 步骤 1: 创建仓库并推送分支: - 通过 Gogs API 创建仓库 - 设置带有分歧分支的本地仓库 - 创建恶意分支（与 master 相同的提交） - 推送所有分支 - 步骤 2: 在仓库设置中启用变基: - 导航至 - 点击高级设置 - 勾选“启用拉取请求”，然后勾选“允许变基” - 点击保存 - （或直接更新数据库： ） - 步骤 3: 创建拉取请求: - 导航至比较 URL（base = 恶意分支，head = feature） - 输入标题（例如，“RCE PoC”）并点击“新建拉取请求”。 - 步骤 4: 等待 testPatch（约 5 秒）: - 后台 协程必须将 PR 设置为可合并。等待几秒钟，然后刷新 PR 页面。

目標達成すべての支援者に感謝 — 100%達成しました！

Gogs PR Pre-merge Rebase Remote Code Execution (RCE) Vulnerability Analysis and PoC

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Gogs PR Pre-merge Rebase Remote Code Execution (RCE) Vulnerability Analysis and PoC

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！