Gogs-Lücke erlaubt RCE für jedes Konto

Kritische Schwachstelle CVE-2026-52806 in Gogs Gogs-Lücke gibt jedem Konto RCE-Rechte auf dem Server

Anbieter zum Thema

Eine kritische Lücke in der selbst gehosteten Git-Plattform Gogs gibt jedem angemeldeten Konto Rechte zur Remote Code Execution auf dem Server. Ein öffentlich verfügbares Metasploit-Modul automatisiert den Angriff in Se­kun­den. Ver­si­on 0.14.3 behebt die Schwachstelle.

Die Gogs-Lücke CVE-2026-52806 gibt jedem angemeldeten Konto RCE auf dem Server. Ein öffentlicher Metasploit-Exploit automatisiert den Angriff, Version 0.14.3 schließt sie.

(Bild: © ImageFlow - stock.adobe.com)

Rapid7 Labs beschreibt eine Argument-Injection nach CWE-88 in der selbst gehosteten Git-Software Gogs und bewertet die Schwachstelle CVE-2026-52806 nach CVSSv4 mit 9.4 als kritisch. Jeder authentifizierte Nutzer löst darüber Remote Code Execution auf dem Server aus, ohne Administratorrechte und ohne Mitwirkung anderer Konten. Betroffen sind die Versionen 0.14.2 und 0.15.0+dev sowie ältere Ausgaben mit Rebase-Merging. Ein Patch ist mit Version 0.14.3 verfügbar.

Manipulierter Branch-Name schleust Befehle ein

Im Zentrum steht der Merge-Vorgang "Rebase before merging". Gogs ruft dafür "git rebase" auf und übergibt den Basiszweig direkt, ohne den Trenner "--". Git wertet den Parameter "--exec" aus und führt nach jedem Commit ein Shell-Kommando per "sh -c" aus. Ein Angreifer legt einen Zweig mit einem Namen wie "--exec=touch${IFS}/tmp/rce_proof" an. Git interpretiert die Zeichenkette als Option statt als Zweignamen, und "${IFS}" expandiert zu einem Leerzeichen.

Standardkonfiguration senkt die Einstiegshürde

Gogs aktiviert die offene Registrierung im Auslieferungszustand. Der Parameter "DISABLE_REGISTRATION" steht auf "false", die Repository-Erstellung bleibt unbegrenzt. Ein Angreifer registriert ein Konto, erzeugt ein eigenes Repository und schaltet das Rebase-Merging über "Settings" und "Advanced" frei. Der Angriff benötigt danach kein weiteres Konto. Die erfolgreiche Ausnutzung verschafft Befehlsausführung im Kontext des Prozessbenutzers, oft des Benutzers git. Aus dieser Position liest der Angreifer alle Repositories der Instanz und greift Passwort-Hashes, API-Tokens, SSH-Schlüssel und 2FA-Geheimnisse aus der Datenbank ab.

Öffentliches Modul und Gegenmaßnahmen

Rapid7 stellt ein Metasploit-Modul bereit, das den Angriff gegen Linux- und Windows-Ziele automatisiert und in Sekunden abschließt. Eine Shodan-Suche findet 1.141 erreichbare Instanzen, die reale Verbreitung fällt höher aus. Die Lücke gehört zur selben Klasse wie frühere Argument-Injections in Gogs, betrifft jedoch die Funktion Merge(). Betreiber sperren die Registrierung über "DISABLE_REGISTRATION = true" und begrenzen die Repository-Erstellung über "MAX_CREATION_LIMIT = 0", um die Angriffsfläche zu verkleinern. Durch Einspielen der Version 0.14.3 wird die Schwachstelle geschlossen.

(ID:50864207)