Gitサーバ「Gogs」にコマンドインジェクションの脆弱性

クロスプラットフォームで利用できるGoベースのGitサーバ「Gogs」にコマンドインジェクションの脆弱性が明らかとなった。

OSコマンドの実行が可能となる脆弱性「CVE-2022-2024」が明らかとなったもの。悪意あるユーザーが細工した設定ファイルを用いて「SSH」によるアクセスを取得できるという。WindowsやmacOSなど、大文字と小文字を区別しないファイルシステム上で動作する環境が影響を受ける。

「Gogs」では、過去に設定ファイルを書き換え、リモートよりコードの実行が可能となる「CVE-2022-0415」が明らかとなり修正されたが、同修正をバイパスできる脆弱性として報告された。

CVE番号を採番した脆弱性報告サイト「huntr」では、共通脆弱性評価システム「CVSSv3.1」においてベーススコアを「9.8」、重要度を「クリティカル（Critical）」とレーティングしている。

開発チームでは、大小文字を区別しないよう脆弱性を修正した「同0.12.11」をリリースした。発見者が報告時に示した概念実証（PoC）も公開されている。

（Security NEXT - 2023/03/01 ）ツイート