Gitサーバ「Gogs」に複数の深刻な脆弱性 - アップデートで修正

GoベースのGitサーバ「Gogs」に複数の深刻な脆弱性が判明した。アップデートで修正されている。

あわせて6件の脆弱性が明らかとなったもの。「CVE-2024-39930」は、組み込みの「SSHサーバ」に明らかとなった引数インジェクションの脆弱性で、リモートよりコードの実行が可能となる。Windows以外の環境が脆弱性の影響を受けるとしている。

さらに内部ファイルの削除が可能となる「CVE-2024-39931」や、変更のプレビュー中に引数を挿入できる「CVE-2024-39932」などが判明した。

これら3件の脆弱性については、CVE番号を採番したMITERにおいて共通脆弱性評価システム「CVSSv3.1」のベーススコアが「9.9」と評価されており、重要度が4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

またパストラバーサルの脆弱性「CVE-2024-55947」「CVE-2024-54148」も明らかとなっている。CVE番号を採番したGitHubではCVSS基本値をともに「8.7」としているが、リポジトリ上の重要度は「クリティカル（Critical）」とレーティングされている。

（Security NEXT - 2024/12/26 ）ツイート