Κρίσιμη ευπάθεια στο Gogs επιτρέπει απομακρυσμένη εκτέλεση κώδικα

Gogs — η ελαφριά, self-hosted πλατφόρμα για hosting Git αποθετηρίων — είχε μια κρίσιμη ευπάθεια που επέτρεπε σε αυθεντικοποιημένους χρήστες να εκτελέσουν εντολές στο διακομιστή μέσω καταχρηστικής χρήσης path traversal κατά τη δημιουργία οργανισμού. Η ευπάθεια, καταγεγραμμένη ως CVE-2026-52813, αναφέρθηκε από τον ερευνητή ασφαλείας της Aikido Jorian Woltjer και επιδιορθώθηκε στην έκδοση 0.14.3 του Gogs. Σε συνδυασμό με ένα ξεχωριστό ζήτημα εξουσιοδότησης (CVE-2026-52810), αυτά τα σφάλματα αποκαλύπτουν πόσο επικίνδυνη μπορεί να γίνει μια αδύναμη επικύρωση ταυτοτήτων και ασαφή όρια εξουσιοδότηση σε υπηρεσίες Git.

Στο παρόν άρθρο αναλύουμε την τεχνική φύση της ευπάθειας, τα βήματα εκμετάλλευσης που έδειξε ο ερευνητής, τον πραγματικό κίνδυνο για περιβάλλοντα με CI/CD, και πρακτικές οδηγίες για διαχειριστές και χρήστες self-hosted Git υπηρεσιών ώστε να ανιχνεύσουν και να μετριάσουν τον κίνδυνο.

Πώς προέκυψε το πρόβλημα στον πυρήνα της εφαρμογής

Το σφάλμα προέρχεται από ένα API endpoint που δέχεται το όνομα ενός οργανισμού και το περνά σε μια ρουτίνα που κατασκευάζει μονοπάτια στο filesystem. Η βιβλιοθήκη του Golang που χρησιμοποιεί το Gogs για σύνδεση μονοπατιών είναι η filepath.Join. Συνηθισμένα controls στην καταχώριση λογαριασμών περιορίζουν τα usernames σε ασφαλείς χαρακτήρες (αλφαριθμητικά, παύλες, κάτω παύλες, τελείες), αλλά το API δημιουργίας οργανισμού δεν επέβαλε τις ίδιες περιοριστικές επικυρώσεις.

Με άλλα λόγια, ένας αυθεντικοποιημένος χρήστης μπορούσε να στείλει ένα όνομα οργανισμού που περιείχε ακολουθίες όπως ../. Το filepath.Join θα συνέδεε αυτές τις ακολουθίες με το ριζικό κατάλογο αποθετηρίων του συστήματος, επιτρέποντας τη δημιουργία αποθετηρίων εκτός του αναμενόμενου χώρου αποθήκευσης. Αυτός ο τύπος σφάλματος είναι γνωστός ως path traversal και είναι ιδιαίτερα επικίνδυνος όταν τοποθετείται σε συνδυασμό με λειτουργίες που γράφουν ή εκτελούν αρχεία στο σύστημα.

Από αρχικό write primitive σε απομακρυσμένη εκτέλεση κώδικα

Στην πρώτη προσέγγιση, το μόνο που φαινόταν να κάνει ο επιτιθέμενος ήταν να γράψει ένα bare Git αποθετήριο σε μια προσαρμοσμένη τοποθεσία — για παράδειγμα σε έναν εγγράψιμο κατάλογο όπως /tmp. Ένα bare αποθετήριο περιέχει τα εσωτερικά δεδομένα του Git χωρίς ένα λειτουργικό working tree, και ως εκ τούτου δεν προσφέρει άμεση δυνατότητα να αντικαταστήσει αρχεία εφαρμογής.

Ωστόσο, η λεπτομέρεια που έκανε τη διαφορά ήταν ο μηχανισμός web editing του Gogs. Όταν χρήστες επεξεργάζονται αρχεία μέσω του web interface, το Gogs δημιουργεί προσωρινά worktrees και αντιγράφει περιεχόμενο για να παρέχει διεπαφή επεξεργασίας. Ο Woltjer έδειξε ότι ένας επιτιθέμενος μπορεί πρώτα να δημιουργήσει ένα αποθετήριο που επιτρέπει web editing και στη συνέχεια, χρησιμοποιώντας ένα όνομα οργανισμού με traversal, να τοποθετήσει ένα κακόβουλο bare αποθετήριο μέσα στο προσωρινό worktree.

Το επόμενο κομμάτι της επίθεσης εκμεταλλεύεται την πραγματικότητα ότι οι hooks του Git (π.χ. hooks/update) εκτελούνται τοπικά από το Git όταν λαμβάνεται μια push εντολή. Ένας επιτιθέμενος μπορεί να κάνει τοπικό clone του νόμιμου αποθετηρίου, να προσθέσει έναν hook (π.χ. σε traversal.git/hooks/update) και να το σπρώξει με κανονικό git push. Η διεπαφή web του Gogs αποκλείει μονοπάτια που περιέχουν ακριβώς .git/, αλλά η λογική επικύρωσης αναζητούσε ένα segment με το όνομα ακριβώς .git — ο κατάλογος traversal.git περνάει την επικύρωση και παρακάμπτει τον έλεγχο, επιτρέποντας την τοποθέτηση του hook.

Τελικά, μια επακόλουθη API-driven ενέργεια που ενεργοποιεί commit στο nested αποθετήριο εκτελεί τον κακόβουλο update hook. Ο κώδικας αυτός τρέχει με τα δικαιώματα του χρήστη της υπηρεσίας Git στον server, οδηγώντας σε πλήρη remote code execution (RCE).

Ξεχωριστό ζήτημα εξουσιοδότησης και οι συνέπειές του

Πέρα από το path traversal, ο ερευνητής ανέδειξε και ένα δεύτερο, μη-σχετιζόμενο αλλά κρίσιμο πρόβλημα: την CVE-2026-52810. Το σφάλμα αυτό προκύπτει όταν το Gogs ταξινομεί κάποιες HTTP Git αιτήσεις ως «μόνο για ανάγνωση» με βάση την παράμετρο service στο query string, αλλά ταυτόχρονα δρομολογεί την εργασία με βάση το path της αίτησης.

Στην πράξη, στέλνοντας την παράμετρο service=git-upload-pack μέσα σε ένα αίτημα που στην πραγματικότητα ήταν για git-receive-pack (δηλαδή push), το σύστημα μπορούσε να εκλάβει μια write ενέργεια ως read. Αυτό ανοίγει το ενδεχόμενο χρήστες με δικαιώματα ανάγνωσης να πραγματοποιήσουν pushes σε ιδιωτικά αποθετήρια ή σε deployments που απαιτούν authentication για προβολή, εφόσον οι διαδρομές και οι παράμετροι συνδυαστούν με τρόπο που παραπλανά την εξουσιοδότηση.

Τεχνικές λεπτομέρειες που εξηγούν την εκμετάλλευση

Η επίθεση βασίζεται σε δύο τεχνικά σφάλματα που συχνά εμφανίζονται σε web εφαρμογές: α) μη επαρκής επικύρωση εισόδου (input validation) και β) εμπιστοσύνη σε παραμέτρους HTTP για τον προσδιορισμό δικαιωμάτων. Το πρώτο σφάλμα επέτρεψε την εισαγωγή ../ μέσα σε ένα όνομα οργανισμού. Ενώ το filepath.Join ομαδοποιεί τέτοια κομμάτια σε ένα μονοπάτι, δεν αφαιρεί απαραίτητα αναδρομικές ακολουθίες όταν αυτές προέρχονται από μη αξιόπιστη είσοδο.

Επιπλέον, η διάκριση μεταξύ bare και non-bare αποθετηρίων, και η ύπαρξη hooks, αποτελούν τη δεύτερη λεπτομέρεια: οι hooks είναι εγγράφως αρχεία που εκτελούνται από το Git και μπορούν να περιέχουν εντολές shell. Ο συνδυασμός της δυνατότητας τοποθέτησης ενός bare repo σε έναν εγγράψιμο και προσβαλλόμενο κατάλογο και της ύπαρξης διαδικασιών που κάνουν clone/push σε αυτό το αποθετήριο δημιουργεί μια έτοιμη επιφάνεια εκτέλεσης κακόβουλου κώδικα.

Πώς να ελέγξετε αν έχετε επηρεαστεί και άμεσα μέτρα

Το πρώτο και πιο αποφασιστικό βήμα είναι η αναβάθμιση στην έκδοση Gogs 0.14.3 ή νεότερη. Όπου αυτό δεν είναι άμεσα εφικτό, συστήνονται τα εξής ελέγξιμα μέτρα: αναζητήστε ασυνήθιστα ή ύποπτα ονόματα οργανισμών που περιέχουν ../ ή παράξενες τελείες και παύλες, σκανάρετε το filesystem για απρόσμενα bare repositories σε προσωρινούς καταλόγους όπως /tmp, και ελέγξτε κάθε αποθετήριο για ύποπτους Git hooks μέσα σε hooks/.

Επιπλέον, αναθεωρήστε τα logs για πρόσφατες ενέργειες git push και API κλήσεις δημιουργίας οργανισμών, ψάξτε για αλληλουχίες που συνδυάζουν τη δημιουργία οργανισμού με επακόλουθα pushes από τον ίδιο λογαριασμό, και επαληθεύστε ότι οι διαδικασίες CI/CD δεν εκτελούν scripts με υπερβολικά προνόμια σε κοινόχρηστους runners ή στο filesystem του host.

Προληπτικά μέτρα και καλές πρακτικές ασφαλείας

Η ουσία της πρόληψης είναι να μην επιτρέπεται σε εισερχόμενες ταυτότητες ή ονόματα να επηρεάζουν απευθείας μονοπάτια αρχείων χωρίς αυστηρή καθαριστική διαδικασία (sanitization). Αυτό σημαίνει επικύρωση στη μονάδα API και όχι μόνο στα forms του frontend. Χρησιμοποιείστε whitelist χαρακτήρων για ονόματα οργανισμών και αποφεύγετε να εμπιστεύεστε παραμέτρους HTTP για κρίσιμες αποφάσεις εξουσιοδότησης.

Επίσης, σχεδιάστε τα runners και τους agents CI/CD με αρχές least privilege: απομονώστε εκτελούμενα περιβάλλοντα σε containers ή sandboxed processes, δώστε περιορισμένα δικαιώματα εγγραφής σε συγκεκριμένους καταλόγους και αποφύγετε να τρέχετε Git servers με root. Αν είναι δυνατόν, ενεργοποιήστε μηχανισμούς που αποτρέπουν την εκτέλεση hooks που δεν έχουν επικυρωθεί ή προέρχονται από μη αξιόπιστες πηγές.

Τι σημαίνει για τις εταιρείες και τα αυτοματοποιημένα pipelines

Οι ευπάθειες σε Git hosting πλατφόρμες δεν είναι απλώς θεωρητική απειλή: μπορούν να μετατραπούν σε εισβολές που επηρεάζουν ολόκληρη την αλυσίδα ανάπτυξης λογισμικού. Σε περιβάλλοντα με αυτοματοποιημένα builds, runners που τραβούν ανεπιβεβαίωτο κώδικα ή εκτελούν hooks μπορεί να δουν κακόβουλο κώδικα να τρέχει με δικαιώματα που έχουν πρόσβαση σε μυστικά, αρχεία παραγωγής ή συστήματα deployment.

Συνεπώς, οι ομάδες DevOps και SecOps πρέπει να συνεργάζονται στενά: η ομάδα ασφαλείας να παρέχει threat models και κανόνες αποδεκτής συμπεριφοράς αποθετηρίων, και η ομάδα ανάπτυξης να εφαρμόζει τεχνικούς ελέγχους όπως signed commits, branch protection, και auditing hooks πριν την ενεργοποίησή τους σε παραγωγή.

Τι σημαίνει για τους χρήστες

Αν τρέχετε self-hosted Gogs, αναβαθμίστε χωρίς καθυστέρηση στην έκδοση 0.14.3 ή νεότερη. Ελέγξτε για ασυνήθιστα ονόματα οργανισμών και για αποθετήρια που βρίσκονται εκτός των κανονικών διαδρομών. Σαρώστε την παρουσία hooks και διερευνήστε κάθε hook που δεν ήταν σαφώς δημιουργημένο από αξιόπιστο διαδικασία deployment. Επίσης, αξιολογήστε τους CI/CD runners: τρέχουν με λιγότερα προνόμια; είναι σωστά απομονωμένοι;

Για μεγαλύτερη ασφάλεια, επιβάλετε αυστηρούς κανόνες επικύρωσης για ονόματα χρηστών και οργανισμών, παρακολουθήστε logs και alerts για ασυνήθιστες ενέργειες Git, και υιοθετήστε μια πολιτική ασφαλούς διαχείρισης κλειδιών και secrets που δεν επιτρέπει σε απλό hook να τα εκfiltrate. Η εμπειρία από αυτή την ευπάθεια δείχνει ότι μικρές παραλείψεις στην επικύρωση και στην εξουσιοδότηση μπορούν να μετατραπούν σε σοβαρό ρίσκο, ειδικά όταν οι εφαρμογές αλληλεπιδρούν με το λειτουργικό σύστημα και με αυτόματα pipelines.