Произвольная запись файлов в RCE в Gogs (CVE-2025-8110) - Эксплойт для образовательных целей

Этот репозиторий содержит скрипт доказательства концепции (PoC) на Python для демонстрации и анализа уязвимости, зарегистрированной как CVE-2025-8110 в самоуправляемом Git-сервисе Gogs (версии 0.13.3 и ниже).

⚠️ Отказ от ответственности (Предупреждение)

[!WARNING] ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ПРЕДНАЗНАЧЕНО ТОЛЬКО ДЛЯ ОБРАЗОВАТЕЛЬНЫХ ЦЕЛЕЙ И ИССЛЕДОВАНИЙ БЕЗОПАСНОСТИ. Использование данного материала против целей без предварительного письменного согласия их владельцев является полностью незаконным. Автор этого репозитория не несет ответственности за любой ущерб, вред или неправомерное использование, возникшее в результате применения этого кода. Используйте его всегда на свой страх и риск и только в контролируемых средах или санкционированных симуляциях (таких как лаборатории CTF).

Что такое CVE-2025-8110?

CVE-2025-8110 — это критическая уязвимость произвольной записи файлов, вызванная недостаточной проверкой при обработке символических ссылок (symlinks) через API PutContents в Gogs.

Механизм воздействия

Аутентифицированный злоумышленник может:

Создать локальный Git-репозиторий, содержащий символическую ссылку, указывающую на конфиденциальный файл вне папки репозитория (например, на сам файл конфигурации сервера .git/config).
Отправить (push) этот репозиторий на сервер Gogs.
Использовать API Gogs для изменения файла символической ссылки. Поскольку API не проверяет, является ли целью ярлык, базовая операционная система переходит по ссылке и перезаписывает системные файлы с привилегиями, с которыми работает Gogs.
Если служба Gogs работает от имени root, запись файлов может быть расширена до удаленного выполнения кода (RCE) путем внедрения желаемой команды в свойство sshCommand файла конфигурации Git.

Описание кода (`exploit.py`)

Скрипт автоматизирует весь процесс эксплуатации, используя действительные учетные данные и токен API, предварительно сгенерированный вручную в веб-интерфейсе Gogs:

          ┌──────────────────────────────────────────────┐
          │          Машина атакующего (Kali)            │
          └──────────────────────┬───────────────────────┘
                                 │
         (1) Создает вредоносный  │ (3) Загружает Symlink (.git/config)
         репозиторий через API    │     через git push
                                 ▼
          ┌──────────────────────────────────────────────┐
          │      Локальный SSH-туннель (порт 8080)       │
          └──────────────────────┬───────────────────────┘
                                 │
                                 ▼
          ┌──────────────────────────────────────────────┐
          │           Сервер-жертва Gogs                 │
          │              (Порт 3001)                     │
          └──────────────────────┬───────────────────────┘
                                 │
                                 │ (4) API PUT "contents"
                                 │     Переходит по Symlink и записывает
                                 │     "sshCommand" в .git/config
                                 ▼
          ┌──────────────────────────────────────────────┐
          │     Выполнение полезной нагрузки от имени    │
          │                  ROOT                        │
          └──────────────────────────────────────────────┘

Основные компоненты скрипта:

create_malicious_repo: Выполняет запрос POST к API Gogs (/api/v1/user/repos) с аутентификацией по предоставленному токену доступа для создания нового репозитория со случайным именем, генерируемым динамически.
upload_malicious_symlink:
- Клонирует только что созданный репозиторий в локальную временную папку /tmp/.
- Создает символическую ссылку локально на машине атакующего, указывающую на .git/config (файл конфигурации Git сервера).
- Выполняет commit и отправляет изменения обратно на сервер с помощью системной команды (git push).
exploit: Определяет полезную нагрузку (payload) с помощью трюка внедрения в свойство sshCommand Git. При обновлении содержимого через API Gogs вынужден перезаписать свой собственный .git/config на сервере. Когда срабатывает последняя часть процесса Git, система Gogs выполняет команду терминала (обратную оболочку Bash), возвращая соединение на ваш слушающий Netcat.

Руководство по использованию в лабораториях (HTB - Silentium)

Предварительные требования

Убедитесь, что вы настроили глобальные идентификационные данные в Git перед запуском скрипта, чтобы избежать ошибок при автоматическом коммите:

git config --global user.email "студент@безопасность.local"
git config --global user.name "студент"

CVE-2025-8110

Популярное