米当局、「Gogs」の脆弱性悪用に注意喚起 - 修正コードが公開

米当局は、Gitサーバ「Gogs」におけるパストラバーサルの脆弱性「CVE-2025-8110」が悪用されていることを受け、注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年1月12日、同脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加したもの。米行政機関に対して指定期間内に対策を講じるよう求めるとともに、広く注意を呼びかけている。

同脆弱性は、一部APIがシンボリックリンクを適切に検証していないことに起因。リポジトリの作成権限を持つユーザーであれば、リポジトリ外のファイルを書き換え、コードを実行することが可能となる。

ワークロードのマルウェア感染の調査を進めていた際に偶然発見したとして、Wizが現地時間2025年12月10日に報告。ゼロデイ攻撃が展開されており、インターネット上に公開されている700以上のインスタンスで侵害の痕跡が見られると指摘していた。

「Gogs」では、誰でも参加登録できるようデフォルトで設定されているため、脆弱性を指摘したWizは、侵害を防ぐためにオープン登録機能を停止し、インターネット上への公開も中止して信頼できるアクセスのみに制限するよう利用者に呼びかけていた。

脆弱性の公表当時、修正プログラムが用意されていなかったが、ソースリポジトリにおいて、APIを通じたシンボリックリンク経由のファイル更新を拒否する修正が現地時間2026年1月8日にコミットされている。

（Security NEXT - 2026/01/13 ）ツイート