CVE-2024-56731
Gogs deletion of internal files allows remote command execution
En resumen
Gogs permite que usuarios sin privilegios eliminen archivos internos críticos de Git y ejecuten comandos arbitrarios en el servidor. Un atacante puede tomar control de la instancia Gogs y acceder o modificar cualquier código almacenado en ella.
Detalle técnico
La falla CWE-552 (Archivos o Directorios Accesibles a Terceros) permite que usuarios no autenticados o con bajos privilegios eliminen archivos en el directorio .git a través de un parche incompleto, habilitando ejecución de comandos arbitrarios con privilegios del RUN_USER. La vulnerabilidad afecta versiones de Gogs anteriores a 0.13.3 y puede explotarse para comprometer todos los repositorios en la instancia.
Resumen generado y traducido por IA a partir de la descripción oficial.
Gogs is an open source self-hosted Git service. Prior to version 0.13.3, it's still possible to delete files under the .git directory and achieve remote command execution due to an insufficient patch for CVE-2024-39931. Unprivileged user accounts can execute arbitrary commands on the Gogs instance with the privileges of the account specified by RUN_USER in the configuration. Allowing attackers to access and alter any users' code hosted on the same instance. This issue has been patched in version 0.13.3.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
gogs · gogs¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →