漏洞通告 | Gogs远程命令注入漏洞

2025年6月25日23:52:15评论0 views字数 735阅读2分27秒阅读模式

漏洞通告 | Gogs远程命令注入漏洞

漏洞概况

Gogs是一个轻量级、易于使用和定制的自托管Git服务，可以在多个操作系统上运行。它提供了Web界面来管理Git仓库、团队成员、权限等，并支持代码审核、问题跟踪、Wiki、持续集成等功能。

微步情报局获取到Gogs命令注入漏洞（CVE-2024-56731）漏洞情报，Gogs 对 .git 目录的路径进行检查以防止用户对.git目录的操作，但通过符号链接可以绕过检测来重写config文件导致命令注入。

该漏洞需要用户权限但影响范围较大、利用难度较低，建议受影响用户尽快修复。

漏洞处置优先级(VPT)

综合处置优先级：高

漏洞影响范围

漏洞复现

修复方案

官方修复方案：

官方已更新版本修复漏洞，访问链接进行更新

https://github.com/gogs/gogs/releases/tag/v0.13.3

临时缓解措施：

1.在app.ini中关闭Gogs用户注册功能

[auth]

DISABLE_REGISTRATION = true

2.使用防护设备对漏洞路由进行检测是否存在恶意文件内容或对.git目录的恶意操作

微步产品侧支持情况

微步威胁感知平台TDP 已支持检测，TDP检测ID：S3100134330，模型/规则高于20231205000000可检出。

原文始发于微信公众号（微步在线研究响应中心）：漏洞通告 | Gogs远程命令注入漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。