chewkeanho/research-cve-2025-68971[MIRROR] Relatório Completo de Pesquisa de Vulnerabilidade de Segurança CVE-2025-68971
Em 22 de dezembro de 2025, uma vulnerabilidade de segurança CVE 2025-68971 (CVSS: 5.5/MÉDIO) foi descoberta no aplicativo open-source Forgejo 13.0.3, detectado pela primeira vez no sistema operacional FreeBSD14. Isso fez com que o sistema operacional começasse a matar em massa todos os aplicativos e serviços do sistema devido à falta de memória, já que o Forgejo consumiu toda a memória livre disponível do sistema operacional para armazenar temporariamente fragmentos de upload de arquivos anexos. Sempre que um arquivo anexo de tamanho maior do que toda a memória do sistema operacional pode suportar é enviado por qualquer usuário, o sistema operacional não tem escolha a não ser matar todos os serviços e aplicativos e reiniciar seu tempo de execução. A eliminação inclui, mas não se limita a, interface gráfica de usuário em tempo de execução e serviços de rede como XOrg, gerenciador de desktop LXQt, servidor proxy reverso Nginx e servidor SSH. O efeito colateral é perda e corrupção de dados devido ao encerramento inesperado do programa.
Em 16 de janeiro de 2026, a equipe de segurança do Forgejo corrigiu a mediação da vulnerabilidade de segurança na versão 14.0.0 e, até 11 de março de 2026, as versões 14.0.0, 14.0.1 e 14.0.2 foram todas testadas e verificadas como corrigidas. A conclusão é que o público DEVE atualizar o Forgejo para a versão 14.0.2 ou superior para mitigar esta vulnerabilidade.
Isso é tudo. Caso contrário, este relatório detalha a vulnerabilidade e seus dados de mediação exclusivamente para fins de arquivamento e educacionais.
Por favor, consulte a seção Releases para a versão mais recente do relatório.
Para proteger o conteúdo contra modificações não autorizadas em nível de bit
(0|1), eles são assinados criptograficamente usando uma ou mais ferramentas de criptografia, como, mas não se limitando a:
A chave pública e o certificado associado estão anexados. Apenas o proprietário principal mantém e guarda as chaves privadas. Para verificar a integridade do conteúdo:
.asc
com o mesmo nome)..gpg).$ gpg --no-default-keyring --keyring /caminho/para/public.gpg --verify /caminho/para/file.asc
.sig/.sign
com o mesmo nome)..pem) contendo a chave pública.$ openssl dgst -verify /caminho/para/pubkey.pem -signature /caminho/para/file.sig /caminho/para/file
Este decreto define a política do projeto sobre o uso de Inteligência Artificial. As seções a seguir listam as atividades do ciclo de vida dos dados e indicam se a I.A. é implantada. A menos que explicitamente declarado o contrário (por exemplo, implantação com especificações), a I.A. não é usada para essas tarefas.
[!Note]
Exemplos de atividades:
- Realizar pesquisas aprimoradas na web devido à poluição dos motores de busca por conteúdos de baixa qualidade gerados por I.A.
- Realizar mídia completamente gerada automaticamente, como, mas não se limitando a imagens, vídeos e áudios.
[!Note]
Exemplos de atividades:
- Realizar desenvolvimento de processos de várias etapas.
- Realizar saneamento de dados, como limpeza e desduplicação de dados.
- Realizar conversão de compatibilidade de formato de dados.
- Construir e otimizar bibliotecas de processamento de dados.
- Ampliar uma imagem com rede neural não alcançável com tecnologias convencionais de manipulação de imagens.
[!Note]
Exemplos de atividades:
- Realizar detecção de segurança e ameaças.
- Realizar criptografia de
Dados em Repousoe monitoramento de integridade.- Realizar gerenciamento de armazenamento de dados criptografados.
- Realizar manutenção automatizada de armazenamento de dados.
- Realizar monitoramento e mitigação de integridade de dispositivos de armazenamento de dados.
[!Note]
Exemplos de atividades:
- Realizar análise de dados em várias etapas.
- Realizar detecção e reconhecimento de padrões.
- Desenvolver modelagem preditiva.
- Desenvolver modelos de consulta em linguagem natural.
- Criar modelos de rede neural de inteligência artificial baseados em feeds de dados.
- Otimizar aprendizado por transferência, ajuste de hiperparâmetros, etc. da inteligência artificial.
[!Note]
Exemplos de atividades:
- Realizar testes simulados de caso de uso do usuário final.
- Realizar testes de sanidade automatizados.
- Realizar testes de penetração e segurança.
- Realizar testes de detecção de anomalias.
- Realizar validações de esquema.
- Realizar testes automatizados de pipelines de dados.
[!Note]
Exemplos de atividades:
- Realizar criação de visualização gráfica de dados baseada em feeds de dados.
- Realizar painéis resumidos com design gráfico e feeds de dados.
- Realizar escrita de relatórios.
- Realizar projeções de previsão.
[!Note]
Exemplos de atividades:
- Realizar filtragem e remoção de informações de identificação pessoal (PII).
- Realizar verificações de conformidade regulatória (por exemplo, filtragem de dados, censura, remoção conforme exigido por lei).
- Realizar monitoramento e validação de conformidade.
- Realizar rastreamento e análise de linhagem de dados.
- Realizar análise de trilha de auditoria de dados.
[!Note]
Exemplos de atividades:
- Realizar criação de metadados de documentos.
- Realizar tradução de documentos.
- Processar licenciamento e gerenciamento de publicação de dados.