CVE-2025-8110 — Escritura Arbitraria de Archivos en Gogs (PoC)

Prueba de concepto para una escritura arbitraria de archivos autenticada en Gogs. Al enviar un repositorio que contiene un enlace simbólico que apunta fuera del repositorio y luego actualizar el contenido de ese enlace a través de la API, un usuario autenticado puede sobrescribir archivos en el host con los privilegios de la cuenta que ejecuta Gogs.

Solo pruebas autorizadas y educación. Ejecute esto solo contra sistemas que posea o para los que tenga permiso explícito por escrito para probar. Usted es responsable de cómo lo use.

Cómo funciona

1. Autentíquese en Gogs con una cuenta existente.
2. Genere un token de aplicación (API) desde la configuración de usuario.
3. Cree un repositorio.
4. Agregue un enlace simbólico (malicious_link -> /ruta/en/host) y envíelo (push).
5. Envíe un PUT a la API de Contenido para actualizar malicious_link. Gogs sigue el enlace simbólico y escribe el contenido proporcionado en la ruta de destino, con sus propios privilegios. Si Gogs se ejecuta como root, esto es una primitiva directa de escalada de privilegios (por ejemplo, colocar una regla en /etc/sudoers.d/).

La API PUT es lo que realmente desencadena la escritura; el push solo coloca el enlace simbólico.

Requisitos

• Python 3.8+
• git disponible en PATH
• Una cuenta Gogs existente (el registro puede estar deshabilitado en el destino)

pip install -r requirements.txt

Uso

python3 exploit.py \
    -u http://127.0.0.1:3000 \
    --user <username> \
    --password '<password>' \
    --target /etc/sudoers.d/pwned \
    --payload '<username> ALL=(ALL) NOPASSWD: ALL'

Omita --password para que se le solicite de forma segura en lugar de pasarlo en la línea de comandos.

Acceder a una instancia interna de Gogs

Gogs a menudo está vinculado a localhost en el destino. Use el reenvío de puertos local SSH para exponerlo a su máquina (ajuste los puertos para que coincidan con el destino):

ssh -L 3000:127.0.0.1:3000 user@target
# then point the exploit at http://127.0.0.1:3000

Verificar la escritura

Después de una ejecución exitosa, verifique en el host (como el usuario correspondiente):

cat /etc/sudoers.d/pwned
sudo -l

Si escribió una regla de sudoers, tenga en cuenta que los archivos en /etc/sudoers.d/ deben ser válidos y tener los permisos adecuados para que sudo los reconozca.

Notas / solución de problemas

• auto_init devuelve HTTP 500 — el script recurre a crear un repositorio vacío y poblarlo con un git init local + push.
• Push rechazado (non-fast-forward) — el script se reconcilia con el remoto y reintenta; también maneja master vs main.
• Token CSRF no encontrado — generalmente significa que el destino/puerto es incorrecto (está golpeando un servicio diferente) o la sesión no está autenticada.

Mitigación

Actualice a una versión de Gogs que valide los enlaces simbólicos en la API de Contenido. Como defensa en profundidad, evite ejecutar Gogs como root y aísle el almacenamiento del repositorio.

Licencia

MIT — consulte LICENSE.