概要
Gogsの組織名にパストラバーサル文字を含めることで、Gitフックの配置先ディレクトリを操作でき、サーバ上で任意コードを実行できる可能性があります。本脆弱性はGHSAによりCriticalに分類されています。
Gogsはセルフホスト型のGitサービスで、小規模チームや個人開発者が自社サーバ上で運用するケースが多いため、外部からのアクセスが可能な環境では特に注意が必要です。
CVSSベクトル
GHSAではCriticalと評価されています（数値スコアは非公開）。脆弱性の性質から、以下の攻撃条件が推定されます。
| 項目 | 内容 |
|---|---|
| 攻撃経路 | ネットワーク経由 |
| 攻撃複雑度 | 低 |
| 必要権限 | 低（組織作成権限） |
| ユーザ操作 | 不要 |
| 影響範囲 | サーバ全体 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Gogs | gogs.io | < 0.14.3 |
修正バージョンと対応方法
修正バージョン: Gogs v0.14.3
- 現在使用しているGogsのバージョンを確認する
- v0.14.3以降にアップデートする
- 即時アップデートが困難な場合は、外部からの組織作成機能へのアクセスを制限することを検討する
関連リンク
データソース: GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。