chewkeanho/research-cve-2025-68971[MIRROR] Completo Rapporto di Ricerca sulla Vulnerabilità di Sicurezza CVE-2025-68971.
Il 22 dicembre 2025, è stata scoperta una vulnerabilità di sicurezza CVE 2025-68971 (CVSS: 5.5/MEDIUM) nell'applicazione open-source Forgejo 13.0.3, rilevata inizialmente sul sistema operativo FreeBSD14. Ha causato l'uccisione di massa di tutte le applicazioni e servizi di sistema a causa della carenza di memoria, poiché Forgejo occupava tutta la memoria libera disponibile del sistema operativo per memorizzare temporaneamente frammenti di caricamento di file allegati. Ogni volta che un utente carica un file allegato di dimensioni superiori a quelle che l'intera memoria del sistema operativo può gestire, il sistema operativo non ha altra scelta che uccidere tutti i servizi e le applicazioni e riavviare il runtime. L'uccisione include, ma non si limita a, interfaccia utente grafica runtime e servizi di rete come XOrg, LXQt desktop manager, Nginx reverse proxy server e SSH server. L'effetto collaterale è la perdita e il danneggiamento dei dati a causa della terminazione imprevista del programma.
Il 16 gennaio 2026, il team di sicurezza di Forgejo ha risolto la mediazione della vulnerabilità di sicurezza nella versione 14.0.0 e, entro l'11 marzo 2026, le versioni 14.0.0, 14.0.1 e 14.0.2 sono state tutte testate e verificate per la correzione della vulnerabilità di sicurezza. La conclusione è che il pubblico DEVE aggiornare Forgejo alla versione 14.0.2 o superiore per mitigare questa vulnerabilità.
Questo è tutto. Altrimenti, questo rapporto descrive la vulnerabilità e i suoi dati di mediazione esclusivamente a scopo di archiviazione e didattico.
Fare riferimento alla sezione Releases per la versione più recente del rapporto.
Per proteggere il contenuto da modifiche non autorizzate da parte di chiunque a livello di bit (0|1), essi sono firmati crittograficamente utilizzando uno o più strumenti crittografici, tra cui ma non limitati a:
La chiave pubblica e il certificato associato sono allegati. Solo il proprietario principale conserva e mantiene le chiavi private. Per verificare l'integrità del contenuto:
.asc con lo stesso nome del file)..gpg).$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign con lo stesso nome del file)..pem) contenente la chiave pubblica.$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
Questo decreto definisce la politica del progetto sull'uso dell'Intelligenza Artificiale. Le seguenti sezioni elencano le attività del ciclo di vita dei dati e indicano se l'A.I. è impiegata. Salvo diversa indicazione esplicita (ad esempio, implementazione con specifiche), l'A.I. non è utilizzata per questi compiti.
[!Note]
Attività di esempio:
- Esecuzione di ricerche web avanzate a causa dell'inquinamento dei motori di ricerca da parte di contenuti di scarsa qualità generati da A.I.
- Esecuzione di media completamente auto-generati, tra cui ma non limitati a immagini, video e audio.
[!Note]
Attività di esempio:
- Sviluppo di processi a più fasi.
- Esecuzione di sanificazione dei dati come pulizia e deduplicazione dei dati.
- Esecuzione di conversione di compatibilità del formato dei dati.
- Costruzione e ottimizzazione di librerie di elaborazione dati.
- Upscaling di un'immagine con rete neurale non raggiungibile con le tecnologie di manipolazione delle immagini convenzionali.
[!Note]
Attività di esempio:
- Esecuzione di rilevamento di sicurezza e minacce.
- Esecuzione di crittografia
Data at Reste monitoraggio dello stato di salute.- Gestione dell'archiviazione dei dati crittografati.
- Manutenzione automatica dell'archiviazione dei dati.
- Monitoraggio dello stato di salute dei dispositivi di archiviazione dati e mitigazione.
[!Note]
Attività di esempio:
- Analisi dei dati a più fasi.
- Rilevamento e riconoscimento di pattern.
- Sviluppo di modelli predittivi.
- Sviluppo di modelli per query in linguaggio naturale.
- Creazione di modelli di rete neurale di intelligenza artificiale basati su flussi di dati.
- Ottimizzazione del trasferimento di apprendimento, dell'iperparametrizzazione, ecc. dell'intelligenza artificiale.
[!Note]
Attività di esempio:
- Esecuzione di test simulati di casi d'uso dell'utente finale.
- Esecuzione di test automatici di integrità.
- Esecuzione di test di penetrazione e sicurezza.
- Esecuzione di test di rilevamento anomalie.
- Esecuzione di validazioni dello schema.
- Esecuzione di test automatici delle pipeline di dati.
[!Note]
Attività di esempio:
- Creazione di visualizzazioni grafiche di dati basate su flussi di dati.
- Creazione di dashboard riassuntive con design grafico e flussi di dati.
- Scrittura di report.
- Proiezioni di previsioni.
[!Note]
Attività di esempio:
- Filtraggio e rimozione di informazioni personali identificabili (PII).
- Verifiche di conformità normativa (ad esempio, filtraggio, censura, rimozione dei dati come richiesto dalla legge).
- Monitoraggio e validazione della conformità.
- Tracciamento e analisi della discendenza dei dati.
- Analisi della traccia di audit dei dati.
[!Note]
Attività di esempio:
- Creazione di metadati dei documenti.
- Traduzione di documenti.
- Elaborazione di licenze e gestione della pubblicazione dei dati.