chewkeanho/research-cve-2025-68971[MIRROR] Vollständiger Forschungsbericht zur Sicherheitslücke CVE-2025-68971.
Am 2025-12-22 wurde eine Sicherheitslücke CVE 2025-68971 (CVSS: 5.5/MEDIUM) in der Open-Source-Anwendung Forgejo 13.0.3 entdeckt, die erstmals auf dem Betriebssystem FreeBSD14 festgestellt wurde. Sie führte dazu, dass das Betriebssystem massenhaft alle Systemanwendungen und -dienste beendete, da Forgejo den gesamten verfügbaren freien Arbeitsspeicher des Betriebssystems für die vorübergehende Speicherung von Anhangsdatei-Upload-Fragmenten belegte (Speichermangel). Immer wenn ein Benutzer eine Anhangsdatei hochlädt, deren Größe größer ist als der gesamte Arbeitsspeicher des Betriebssystems verkraften kann, hat das Betriebssystem keine andere Wahl, als alle Dienste und Anwendungen zu beenden und seine Laufzeit neu zu starten. Die Beendigung umfasst unter anderem die grafische Benutzeroberfläche und Netzwerkdienste wie XOrg, den LXQt-Desktop-Manager, den Nginx-Reverse-Proxy-Server und den SSH-Server. Die Folge sind Datenverluste und Datenkorruption aufgrund unerwarteter Programmbeendigung.
Am 2026-01-16 hat das Forgejo-Sicherheitsteam die Sicherheitslücke in Version 14.0.0 behoben und bis zum 2026-03-11 wurden die Versionen 14.0.0, 14.0.1 und 14.0.2 alle getestet und bestätigt, dass die Sicherheitslücke behoben wurde. Die Schlussfolgerung ist, dass die Öffentlichkeit Forgejo auf Version 14.0.2 oder höher aktualisieren MUSS, um diese Sicherheitslücke zu entschärfen.
Das ist alles. Ansonsten beschreibt dieser Bericht die Schwachstelle und ihre Abhilfedaten ausschließlich zu Archivierungs- und Bildungszwecken.
Bitte beachten Sie den Abschnitt Releases für die neueste Version des Berichts.
Um den Inhalt vor unbefugter Modifikation bis auf Bitebene (0|1) zu schützen, werden sie kryptografisch signiert, wobei ein oder mehrere Kryptografiewerkzeuge wie, aber nicht beschränkt auf, verwendet werden:
Der öffentliche Schlüssel und das zugehörige Zertifikat sind beigefügt. Nur der Hauptinhaber verwahrt und verwaltet die privaten Schlüssel. So überprüfen Sie die Integrität des Inhalts:
.asc-Datei mit demselben Dateinamen) herunter..gpg) herunter.$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign-Datei mit demselben Dateinamen) herunter..pem) herunter, die den öffentlichen Schlüssel enthält.$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
Dieses Dekret definiert die Richtlinie des Projekts zur Nutzung von Künstlicher Intelligenz. Die folgenden Abschnitte listen Datenlebenszyklusaktivitäten auf und geben an, ob KI eingesetzt wird. Sofern nicht ausdrücklich anders angegeben (z. B. Einsatz mit Spezifikationen), wird KI für diese Aufgaben nicht verwendet.
[!Note]
Beispielaktivitäten:
- Durchführung erweiterter Websuchen aufgrund von Suchmaschinenverschmutzung durch KI-Müllinhalte.
- Durchführung vollständig automatisch generierter Medien wie, aber nicht beschränkt auf, Bilder, Videos und Audiodateien.
[!Note]
Beispielaktivitäten:
- Durchführung mehrstufiger Prozessentwicklung.
- Durchführung von Datenbereinigung wie Datenreinigung und Deduplizierung.
- Durchführung von Kompatibilitätskonvertierung von Datenformaten.
- Aufbau und Optimierung von Datenverarbeitungsbibliotheken.
- Hochskalieren eines Bildes mit neuronalem Netzwerk, das mit herkömmlichen Bildbearbeitungstechnologien nicht erreichbar ist.
[!Note]
Beispielaktivitäten:
- Durchführung von Sicherheits- und Bedrohungserkennung.
- Durchführung von Verschlüsselung für
Data at Restund Gesundheitsüberwachung.- Durchführung von Verwaltung verschlüsselter Datenspeicher.
- Durchführung automatisierter Datenspeicher-Haushaltsführung.
- Durchführung von Zustandsüberwachung und Gegenmaßnahmen für Datenspeichergeräte.
[!Note]
Beispielaktivitäten:
- Durchführung mehrstufiger Datenanalysen.
- Durchführung von Mustererkennung und -erkennung.
- Entwicklung von Vorhersagemodellen.
- Entwicklung von Modellen für natürliche Sprachabfragen.
- Erstellung von neuronalen Netzwerkmodellen der Künstlichen Intelligenz basierend auf Datenströmen.
- Optimierung von Transfer-Lernen, Hyperparameter-Tuning usw. der Künstlichen Intelligenz.
[!Note]
Beispielaktivitäten:
- Durchführung von simulierten Tests für Endbenutzer-Anwendungsfälle.
- Durchführung automatisierter Plausibilitätstests.
- Durchführung von Penetrations- und Sicherheitstests.
- Durchführung von Anomalieerkennungstests.
- Durchführung von Schema-Validierungen.
- Durchführung automatisierter Tests von Datenpipelines.
[!Note]
Beispielaktivitäten:
- Erstellung grafischer Datenvisualisierungen basierend auf Datenströmen.
- Erstellung von zusammenfassenden Dashboards mit grafischem Design und Datenströmen.
- Erstellung von Berichten.
- Erstellung von Vorhersageprognosen.
[!Note]
Beispielaktivitäten:
- Durchführung von Filterung und Entfernung personenbezogener Daten (PII).
- Durchführung regulatorischer Compliance-Prüfungen (z. B. Datenfilterung, Zensur, Entfernung nach gesetzlicher Vorgabe).
- Durchführung von Compliance-Überwachung und -Validierung.
- Durchführung von Datenherkunftsverfolgung und -analyse.
- Durchführung von Datenprüfpfadanalysen.
[!Note]
Beispielaktivitäten:
- Erstellung von Metadaten für Dokumente.
- Durchführung von Dokumentenübersetzungen.
- Bearbeitung der Lizenzierung und Verwaltung von Datenveröffentlichungen.
git-lfs NICHT aufgrund von mehrdeutigen und inkonsistenten Speicherzuweisungsrichtlinien verschiedener Git-Dienstanbieter.
CREATORS.txt oder CONTRIBUTORS.txt:
CREATORS.txt sind die juristischen Personen, die für das Projekt verantwortlich sind und das Urheberrecht besitzen, wie Autoren, Hauptdesigner, Hauptentwickler usw.CONTRIBUTORS.txt sind alle juristischen Personen, die zum Projekt beitragen, aber nicht direkt das Urheberrecht besitzen, wie Pull-Request-Beitragende, Kuratoren, Schreiber usw. Entitäten aus CREATORS.txt können hier für eine einheitliche Liste der Mitwirkenden hinzugefügt werden.LICENSE.txt
The ABC Project Team) passend zum Projekt. Das Format ist dasselbe wie in und .
Dieses gesamte Repository ist lizenziert unter der Creative Commons Attribution-NoDerivatives 4.0 International License. Zum besseren Verständnis dieser Lizenz beschreiben die folgenden Unterabschnitte kurz, wie der Inhalt bereitgestellt werden kann.
Für eingetragene gemeinnützige Organisationen (NGO) gelten Sie standardmäßig als kommerzielle Entität wie jede gewinnorientierte Organisation. Sie sind jedoch berechtigt, den NGO-Förderungszuschuss zu erhalten und erhalten Ausnahmerechte von den Urhebern.
Sofern nicht schriftlich anders angegeben, MÜSSEN Sie die Urheber wie folgt angeben:
Title: CVE 2025-68971
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
SKU: chewkeanho-research-cve-2025-68971
UUID: D44E82C4-7EEF-436A-85FD-883062554B67
DOI: 10.5281/zenodo.18932933
CVE: CVE-2025-68971
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-03-10
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.18932933
[!NOTE]
Dies richtet sich an Kunden, die eine Kopie des Inhalts besitzen möchten, und diese dann nur selbst nutzen, ohne sie mit Dritten zu teilen; und OHNE jegliche gewinnorientierte Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Speichern einer lokalen Kopie und Anzeigen auf eigenen mobilen Geräten; ODER
- Speichern einer lokalen Kopie und Anzeigen auf dem eigenen PC; ODER
- Speichern einer lokalen Kopie für KI-Datentrainingszwecke.
Sie sind BERECHTIGT, vorausgesetzt, Sie HALTEN SICH STRENG an die Lizenzangabe.
[!NOTE]
Dies richtet sich an Kunden, die eine Kopie des Inhalts besitzen möchten, und diese dann nur selbst nutzen, ohne sie mit Dritten zu teilen; und MIT jeglicher gewinnorientierter Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Speichern einer lokalen Kopie zur Verbesserung der Beschaffungsliste ihres Unternehmens; ODER
- Speichern einer lokalen Kopie für kommerzielle KI-Datentrainingszwecke.
Sie sind BERECHTIGT, vorausgesetzt, Sie HALTEN SICH STRENG an die Lizenzangabe.
[!NOTE]
Dies richtet sich an Kunden, die den Originalinhalt referenzieren oder eine Anleitung zur Beschaffung für Dritte bereitstellen möchten, ohne Teile des Originalinhalts direkt anzuzeigen; OHNE jegliche gewinnorientierte Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Akademische Forschung und Verfassen von Arbeiten; ODER
- Erstellung neuer Inhalte, die auf den Originalinhalt verlinken, OHNE Anzeige des Originalinhalts für die eigene Streaming-Plattform; ODER
- Inhaltsproduktion und Sammlung mit Verlinkung auf den Originalinhalt, OHNE Anzeige des Originalinhalts; ODER
- Webportfolio-Projekt mit Verlinkung auf den Originalinhalt, OHNE Anzeige des Originalinhalts; ODER
- Veranstaltungsmaterialien mit Verlinkung auf den Originalinhalt, OHNE Anzeige des Originalinhalts; ODER
- Meeting-Materialien mit Verlinkung auf den Originalinhalt, OHNE Anzeige des Originalinhalts; ODER
- Werbeinhalte mit Verlinkung auf den Originalinhalt, OHNE Anzeige des Originalinhalts.
Sie sind BERECHTIGT, vorausgesetzt, Sie HALTEN SICH STRENG an die Lizenzangabe.
[!NOTE]
Dies richtet sich an Kunden, die Teile (und NICHT das Ganze) des Originalinhalts wie er ist ODER ohne bearbeitete Remixe oder Änderungen, die die ursprüngliche Absicht, künstlerische Richtung und Botschaft beibehalten, direkt in ihre Inhaltserstellung einbinden möchten; OHNE jegliche gewinnorientierte Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Erstellung neuer Inhalte mit Anzeige von Teilen des Originalinhalts für die eigene Streaming-Plattform ohne finanziellen Gewinn; ODER
- Inhaltsproduktion und Sammlung mit Anzeige von Teilen des Originalinhalts ohne finanziellen Gewinn; ODER
- Webportfolio-Projekt mit Anzeige von Teilen des Originalinhalts ohne finanziellen Gewinn; ODER
- Veranstaltungsmaterialien mit Anzeige von Teilen des Originalinhalts ohne finanziellen Gewinn; ODER
- Meeting-Materialien mit Anzeige von Teilen des Originalinhalts ohne finanziellen Gewinn.
Sie sind BERECHTIGT, vorausgesetzt, Sie HALTEN SICH STRENG an die Lizenzangabe.
[!NOTE]
Dies richtet sich an Kunden, die Teile (und NICHT das Ganze) des Originalinhalts wie er ist ODER ohne bearbeitete Remixe oder Änderungen, die die ursprüngliche Absicht, künstlerische Richtung und Botschaft beibehalten, direkt in ihre Inhaltserstellung einbinden möchten; MIT jeglicher gewinnorientierter Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Erstellung neuer Inhalte mit Anzeige von Teilen des Originalinhalts für die eigene Streaming-Plattform; ODER
- Inhaltsproduktion und Sammlung mit Anzeige von Teilen des Originalinhalts; ODER
- Webportfolio-Projekt mit Anzeige von Teilen des Originalinhalts; ODER
- Veranstaltungsmaterialien mit Anzeige von Teilen des Originalinhalts; ODER
- Meeting-Materialien mit Anzeige von Teilen des Originalinhalts; ODER
- Werbematerialien mit Anzeige von Teilen des Originalinhalts.
Sie sind BERECHTIGT, vorausgesetzt, Sie HALTEN SICH STRENG an die Lizenzangabe.
[!NOTE]
Dies richtet sich an Kunden, die den Originalinhalt besitzen und dann umfangreich modifizieren möchten, wobei die ursprüngliche Absicht, künstlerische Richtung oder Botschaft erhalten bleibt oder geändert wird, um neue Inhalte zu erstellen; OHNE jegliche gewinnorientierte Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Erstellung neuer Inhalte mit digital modifizierter und verarbeiteter Integration des Originalinhalts für die eigene Streaming-Plattform OHNE Gewinne, einschließlich Werbeprovisionen; ODER
- Persönliche Inhaltsproduktion und Sammlung mit digital modifizierter und verarbeiteter Integration des Originalinhalts für die eigene Streaming-Plattform OHNE Gewinne, einschließlich Werbeprovisionen; ODER
- Persönliches Webportfolio-Projekt mit digital modifizierter und verarbeiteter Integration des Originalinhalts für die eigene Streaming-Plattform OHNE Gewinne, einschließlich Werbeprovisionen; ODER
- Erstellung von Social-Media-Meme-Inhalten mit digital modifizierter und verarbeiteter Integration des Originalinhalts für die eigene Streaming-Plattform OHNE Gewinne, einschließlich Werbeprovisionen.
Sie sind NICHT BERECHTIGT aufgrund der Lizenzbeschränkung.
[!NOTE]
Dies richtet sich an Kunden, die den Originalinhalt besitzen und dann umfangreich modifizieren möchten, wobei die ursprüngliche Absicht, künstlerische Richtung oder Botschaft erhalten bleibt oder geändert wird, um neue Inhalte zu erstellen; MIT jeglicher gewinnorientierter Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Erstellung neuer Inhalte mit digital modifizierter und verarbeiteter Integration des Originalinhalts für die eigene Streaming-Plattform; ODER
- Persönliche Inhaltsproduktion und Sammlung mit digital modifizierter und verarbeiteter Integration des Originalinhalts für die eigene Streaming-Plattform; ODER
- Persönliches Webportfolio-Projekt mit digital modifizierter und verarbeiteter Integration des Originalinhalts für die eigene Streaming-Plattform; ODER
- Erstellung von Social-Media-Meme-Inhalten mit digital modifizierter und verarbeiteter Integration des Originalinhalts für die eigene Streaming-Plattform.
Sie sind NICHT BERECHTIGT aufgrund der Lizenzbeschränkung.
[!NOTE]
Dies richtet sich an Kunden, die den Originalinhalt, modifizierte ODER abgeleitete Inhalte teilen, übertragen, weiterverteilen, verkaufen oder weiterverkaufen möchten; OHNE jegliche gewinnorientierte Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Teilen mit Familienmitgliedern; ODER
- Streamen des Inhalts über eine Streaming-Plattform mit privatem Zuschauerzugang; ODER
- Anzeigen des Inhalts in der eigenen Galerie mit privat eingeladenen Gästen; ODER
- Anzeigen des Inhalts in privaten, kostenlosen zugänglichen Räumen wie dem Wohnzimmer; ODER
- Besitz einer Kopie des Originalinhalts und Bereitstellung als herunterladbaren Inhalt auf einer Website in einem privaten Netzwerk (z. B. selbst gehostetes Heimnetzwerk); ODER
- Teilen des Originalinhalts über soziale Medien oder Messaging-Anwendungen wie E-Mail oder Instant Messenger.
Sie sind BERECHTIGT, vorausgesetzt, Sie HALTEN SICH STRENG an die Lizenzangabe.
[!NOTE]
Dies richtet sich an Kunden, die den Originalinhalt, modifizierte ODER abgeleitete Inhalte teilen, übertragen, weiterverteilen, verkaufen oder weiterverkaufen möchten; MIT jeglicher gewinnorientierter Absicht wie zum Beispiel, aber nicht beschränkt auf:
- Streamen des Inhalts über eine Streaming-Plattform mit öffentlichem oder privatem Zuschauerzugang; ODER
- Anzeigen des Inhalts auf öffentlichen Veranstaltungen eines Unternehmens mit kostenlosen oder kostenpflichtigen Gästeeinladungen; ODER
- Anzeigen des Inhalts auf internen/privaten Veranstaltungen eines Unternehmens mit kostenlosen oder kostenpflichtigen Gästeeinladungen; ODER
- Besitz einer Kopie des Originalinhalts und Bereitstellung als kostenlosen ODER kostenpflichtigen herunterladbaren Inhalt auf der eigenen Website in beliebigen Netzwerken (Internet, Intranet oder private Netzwerke); ODER
- Teilen des Originalinhalts über soziale Medien oder Messaging-Anwendungen wie E-Mail oder Instant Messenger; ODER
- Verteilen des Originalinhalts über mehrere gewinnbringende Streaming-Plattformen.
Sie sind BERECHTIGT, vorausgesetzt, Sie HALTEN SICH STRENG an die Lizenzangabe.
CREATORS.txtCONTRIBUTORS.txt.svg zu .png oder .jpg)..svg-Vektordateien.