Gitサーバ「Gogs」にゼロデイ脆弱性 - 広範囲の公開サーバに侵害痕跡

GoベースのGitサーバ「Gogs」にゼロデイ脆弱性が判明した。インターネット上に公開されている広範囲のサーバで侵害の痕跡が確認されており、注意が呼びかけられている。

一部APIがシンボリックリンクについて適切に検証を行っていないことに起因する脆弱性「CVE-2025-8110」が明らかとなったもの。現地時間2025年12月10日の時点で最新バージョンとなる「同0.13.3」も影響を受ける。

同脆弱性は、2024年に判明した脆弱性「CVE-2024-55947」の修正を回避できることに起因。開発者により対策が講じられたが、シンボリックリンクへの対策が講じられていなかったという。

リポジトリ作成権限がある場合、脆弱性を容易に悪用することができ、リポジトリ外のファイルを書き換えられ、コードを実行されるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「8.7」、重要度は4段階中、2番目に高い「高（High）」とレーティングされている。悪用には権限が必要とされるが、デフォルト設定でユーザー登録が開放されており、設定を変更していない場合は誰でも自由にアカウントを作成し、権限を取得できる。

（Security NEXT - 2025/12/11 ）ツイート