CVE 2025-68971 | (Holloway) Chew, Kean Ho's Knowledge Research

22 декабря 2025 года была обнаружена уязвимость CVE 2025-68971 (CVSS: 5.5/СРЕДНЯЯ) в приложении с открытым исходным кодом Forgejo 13.0.3, впервые выявленная в операционной системе FreeBSD14. Это привело к массовому уничтожению всех системных приложений и служб из-за нехватки памяти, так как Forgejo занимала всю доступную свободную память операционной системы для временного хранения фрагментов загружаемых вложений. Когда любой пользователь загружал файл вложения, размер которого превышал возможности всей памяти операционной системы, у ОС не оставалось выбора, кроме как убить все службы и приложения и перезапустить свою среду выполнения. Уничтожение включало, помимо прочего, графический пользовательский интерфейс и сетевые службы, такие как XOrg, менеджер рабочего стола LXQt, обратный прокси-сервер Nginx и SSH-сервер. Последствием была потеря и повреждение данных из-за неожиданного завершения программы.

16 января 2026 года команда безопасности Forgejo исправила уязвимость в версии 14.0.0, а к 11 марта 2026 года версии 14.0.0, 14.0.1 и 14.0.2 были протестированы и подтверждено, что уязвимость устранена. Вывод заключается в том, что широкой публике необходимо обновить Forgejo до версии 14.0.2 или выше для устранения этой уязвимости.

На этом всё. В остальном этот отчёт подробно описывает уязвимость и данные о её устранении исключительно в архивных и образовательных целях.

---

Пожалуйста, обратитесь к разделу Releases для получения последней версии отчёта.

Проверка целостности содержимого

Чтобы защитить содержимое от несанкционированного изменения на уровне битов (0|1), оно криптографически подписано с помощью одного или нескольких инструментов шифрования, включая, но не ограничиваясь:

• GnuPG; И/ИЛИ
• OpenSSL.

Открытый ключ и соответствующий сертификат прилагаются. Только основной владелец хранит и обслуживает закрытые ключи. Чтобы проверить целостность содержимого:

GnuPG

1. Установите программное обеспечение GnuPG, если оно отсутствует.
2. Загрузите целевой файл и его отдельный файл подписи (файл .asc с тем же именем).
3. Загрузите файл открытого ключа (.gpg).
4. Поместите их рядом друг с другом в одном каталоге.
5. Откройте терминал и выполните следующую команду:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

1. Установите программное обеспечение OpenSSL, если оно отсутствует.
2. Загрузите целевой файл и его отдельный файл подписи (файл .sig/.sign с тем же именем).
3. Загрузите файл открытого сертификата (.pem), содержащий открытый ключ.
4. Поместите их рядом друг с другом в одном каталоге.
5. Откройте терминал и выполните следующую команду:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

Декреты об искусственном интеллекте (ИИ)

Этот декрет определяет политику проекта в отношении использования искусственного интеллекта. В следующих разделах перечислены действия по жизненному циклу данных и указано, используется ли ИИ. Если явно не указано иное (например, развертывание с конкретными уточнениями), ИИ для этих задач не используется.

Источники данных и их получение

[!Note]

Примеры действий:

• Выполнение расширенного веб-поиска из-за загрязнения поисковых систем мусорным контентом от ИИ.
• Создание полностью автоматически сгенерированных медиа, включая, но не ограничиваясь изображениями, видео и аудио.

• Несколько ИИ на основе больших языковых моделей (LLM) в качестве поискового движка для поиска исследовательских материалов в Интернете из-за массового нежелательного публикуемого ИИ мусора.
• Один или несколько ИИ на основе LLM в качестве корректора и улучшателя грамматики и языка для контролируемого улучшения контента, написанного человеком.

Обработка и преобразование данных

[!Note]

Примеры действий:

• Разработка многоэтапных процессов.
• Санация данных, такая как очистка данных и дедупликация.
• Преобразование совместимости форматов данных.
• Создание и оптимизация библиотек обработки данных.
• Увеличение разрешения изображения с помощью нейронной сети, что невозможно с помощью традиционных технологий обработки изображений.

• Не используется.

Хранение и безопасность данных

[!Note]

Примеры действий:

• Обнаружение угроз и обеспечение безопасности.
• Шифрование Data at Rest и мониторинг состояния.
• Управление шифрованным хранилищем данных.
• Автоматическое обслуживание хранилища данных.
• Мониторинг состояния устройств хранения данных и смягчение последствий.

• Не используется.

Анализ данных и генерация инсайтов

[!Note]

Примеры действий:

• Многоэтапный анализ данных.
• Обнаружение и распознавание шаблонов.
• Разработка прогностических моделей.
• Разработка моделей запросов на естественном языке.
• Создание моделей нейронных сетей ИИ на основе потоков данных.
• Оптимизация трансферного обучения ИИ, настройки гиперпараметров и т.д.

• Не используется.

Проверка и обеспечение качества данных

[!Note]

Примеры действий:

• Симуляционное тестирование сценариев использования конечных пользователей.
• Автоматизированное тестирование на корректность.
• Тестирование на проникновение и безопасность.
• Тестирование на обнаружение аномалий.
• Проверка схем.
• Автоматизированное тестирование конвейеров данных.

• Не используется.

Визуализация данных и отчётность

[!Note]

Примеры действий:

• Создание графической визуализации данных на основе потоков данных.
• Создание сводных панелей мониторинга с графическим дизайном и потоками данных.
• Написание отчётов.
• Построение прогнозов.

• Не используется.

Управление данными и соответствие требованиям

[!Note]

Примеры действий:

• Фильтрация и удаление персонально идентифицируемой информации (PII).
• Проверка нормативного соответствия (например, фильтрация данных, цензура, удаление по закону).
• Мониторинг и проверка соответствия требованиям.
• Отслеживание и анализ происхождения данных.
• Анализ аудиторского следа данных.

• Не используется.

Обмен и публикация данных

[!Note]

Примеры действий:

• Создание метаданных документа.
• Перевод документа.
• Обработка лицензирования публикации данных и управления.

• Не используется.

Примечания для сопровождающих