CVE 2025-68971 | (Holloway) Chew, Kean Ho's Wissensforschung

Am 2025-12-22 wurde eine Sicherheitslücke CVE 2025-68971 (CVSS: 5.5/MEDIUM) in der Open-Source-Anwendung Forgejo 13.0.3 entdeckt, die erstmals auf dem Betriebssystem FreeBSD14 festgestellt wurde. Sie führte dazu, dass das Betriebssystem massenhaft alle Systemanwendungen und -dienste beendete, da Forgejo den gesamten verfügbaren freien Arbeitsspeicher des Betriebssystems für die vorübergehende Speicherung von Anhangsdatei-Upload-Fragmenten belegte (Speichermangel). Immer wenn ein Benutzer eine Anhangsdatei hochlädt, deren Größe größer ist als der gesamte Arbeitsspeicher des Betriebssystems verkraften kann, hat das Betriebssystem keine andere Wahl, als alle Dienste und Anwendungen zu beenden und seine Laufzeit neu zu starten. Die Beendigung umfasst unter anderem die grafische Benutzeroberfläche und Netzwerkdienste wie XOrg, den LXQt-Desktop-Manager, den Nginx-Reverse-Proxy-Server und den SSH-Server. Die Folge sind Datenverluste und Datenkorruption aufgrund unerwarteter Programmbeendigung.

Am 2026-01-16 hat das Forgejo-Sicherheitsteam die Sicherheitslücke in Version 14.0.0 behoben und bis zum 2026-03-11 wurden die Versionen 14.0.0, 14.0.1 und 14.0.2 alle getestet und bestätigt, dass die Sicherheitslücke behoben wurde. Die Schlussfolgerung ist, dass die Öffentlichkeit Forgejo auf Version 14.0.2 oder höher aktualisieren MUSS, um diese Sicherheitslücke zu entschärfen.

Das ist alles. Ansonsten beschreibt dieser Bericht die Schwachstelle und ihre Abhilfedaten ausschließlich zu Archivierungs- und Bildungszwecken.

---

Bitte beachten Sie den Abschnitt Releases für die neueste Version des Berichts.

Überprüfen der Inhaltsintegrität

Um den Inhalt vor unbefugter Modifikation bis auf Bitebene (0|1) zu schützen, werden sie kryptografisch signiert, wobei ein oder mehrere Kryptografiewerkzeuge wie, aber nicht beschränkt auf, verwendet werden:

• GnuPG; UND/ODER
• OpenSSL.

Der öffentliche Schlüssel und das zugehörige Zertifikat sind beigefügt. Nur der Hauptinhaber verwahrt und verwaltet die privaten Schlüssel. So überprüfen Sie die Integrität des Inhalts:

GnuPG

1. Installieren Sie die GnuPG-Software, falls nicht vorhanden.
2. Laden Sie die Zieldatei und ihre separate Signaturdatei (die .asc-Datei mit demselben Dateinamen) herunter.
3. Laden Sie die öffentliche Schlüsseldatei (.gpg) herunter.
4. Platzieren Sie sie nebeneinander im Verzeichnis.
5. Öffnen Sie ein Terminal und führen Sie den folgenden Befehl aus:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

1. Installieren Sie die OpenSSL-Software, falls nicht vorhanden.
2. Laden Sie die Zieldatei und ihre separate Signaturdatei (die .sig/.sign-Datei mit demselben Dateinamen) herunter.
3. Laden Sie die öffentliche Zertifikatsdatei (.pem) herunter, die den öffentlichen Schlüssel enthält.
4. Platzieren Sie sie nebeneinander im Verzeichnis.
5. Öffnen Sie ein Terminal und führen Sie den folgenden Befehl aus:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

Künstliche Intelligenz (KI)-Dekrete

Dieses Dekret definiert die Richtlinie des Projekts zur Nutzung von Künstlicher Intelligenz. Die folgenden Abschnitte listen Datenlebenszyklusaktivitäten auf und geben an, ob KI eingesetzt wird. Sofern nicht ausdrücklich anders angegeben (z. B. Einsatz mit Spezifikationen), wird KI für diese Aufgaben nicht verwendet.

Datenbeschaffung & -erwerb

[!Note]

Beispielaktivitäten:

• Durchführung erweiterter Websuchen aufgrund von Suchmaschinenverschmutzung durch KI-Müllinhalte.
• Durchführung vollständig automatisch generierter Medien wie, aber nicht beschränkt auf, Bilder, Videos und Audiodateien.

• Mehrere Large Language Model (LLM) KIs als Suchmaschine zur Suche nach Forschungsmaterialien im gesamten Internet aufgrund massiver unerwünschter KI-Publikationsmülls.
• Eine oder mehrere LLM KIs als Grammatik- und Sprachkorrektur und -verbesserer für überwachte Verbesserung von menschlich verfassten Inhalten.

Datenverarbeitung & -transformation

[!Note]

Beispielaktivitäten:

• Durchführung mehrstufiger Prozessentwicklung.
• Durchführung von Datenbereinigung wie Datenreinigung und Deduplizierung.
• Durchführung von Kompatibilitätskonvertierung von Datenformaten.
• Aufbau und Optimierung von Datenverarbeitungsbibliotheken.
• Hochskalieren eines Bildes mit neuronalem Netzwerk, das mit herkömmlichen Bildbearbeitungstechnologien nicht erreichbar ist.

• Kein Einsatz.

Datenspeicherung & -sicherheit

[!Note]

Beispielaktivitäten:

• Durchführung von Sicherheits- und Bedrohungserkennung.
• Durchführung von Verschlüsselung für Data at Rest und Gesundheitsüberwachung.
• Durchführung von Verwaltung verschlüsselter Datenspeicher.
• Durchführung automatisierter Datenspeicher-Haushaltsführung.
• Durchführung von Zustandsüberwachung und Gegenmaßnahmen für Datenspeichergeräte.

• Kein Einsatz.

Datenanalyse & Erkenntnisgewinnung

[!Note]

Beispielaktivitäten:

• Durchführung mehrstufiger Datenanalysen.
• Durchführung von Mustererkennung und -erkennung.
• Entwicklung von Vorhersagemodellen.
• Entwicklung von Modellen für natürliche Sprachabfragen.
• Erstellung von neuronalen Netzwerkmodellen der Künstlichen Intelligenz basierend auf Datenströmen.
• Optimierung von Transfer-Lernen, Hyperparameter-Tuning usw. der Künstlichen Intelligenz.

• Kein Einsatz.

Datenqualitätsvalidierung & -sicherung

[!Note]

Beispielaktivitäten:

• Durchführung von simulierten Tests für Endbenutzer-Anwendungsfälle.
• Durchführung automatisierter Plausibilitätstests.
• Durchführung von Penetrations- und Sicherheitstests.
• Durchführung von Anomalieerkennungstests.
• Durchführung von Schema-Validierungen.
• Durchführung automatisierter Tests von Datenpipelines.

• Kein Einsatz.

Datenvisualisierung & Berichterstattung

[!Note]

Beispielaktivitäten:

• Erstellung grafischer Datenvisualisierungen basierend auf Datenströmen.
• Erstellung von zusammenfassenden Dashboards mit grafischem Design und Datenströmen.
• Erstellung von Berichten.
• Erstellung von Vorhersageprognosen.

• Kein Einsatz.

Datenverwaltung & Compliance

[!Note]

Beispielaktivitäten:

• Durchführung von Filterung und Entfernung personenbezogener Daten (PII).
• Durchführung regulatorischer Compliance-Prüfungen (z. B. Datenfilterung, Zensur, Entfernung nach gesetzlicher Vorgabe).
• Durchführung von Compliance-Überwachung und -Validierung.
• Durchführung von Datenherkunftsverfolgung und -analyse.
• Durchführung von Datenprüfpfadanalysen.

• Kein Einsatz.

Datenaustausch & Veröffentlichung

[!Note]

Beispielaktivitäten:

• Erstellung von Metadaten für Dokumente.
• Durchführung von Dokumentenübersetzungen.
• Bearbeitung der Lizenzierung und Verwaltung von Datenveröffentlichungen.

• Kein Einsatz.

Hinweise der Betreuer