CVE-2025-64111: Gogs: injeção de comandos do SO via alteração de arquivos do diretório .git
As versões do Gogs 0.13.3 e anteriores continuam expostas à execução remota de comandos, pois a correção anterior da CVE-2024-56731 foi insuficiente. A falha é classificada como injeção de comandos do SO (CWE-78) e recebeu severidade crítica, com pontuação base CVSS 3.1 de 9.8 no NVD. A principal medida é atualizar para 0.13.4 ou 0.14.0+dev, e as fontes consultadas não mostram exploração ativa confirmada.
Visão geral
O Gogs é um serviço Git de código aberto e self-hosted. Segundo o registro, as versões 0.13.3 e anteriores são afetadas por uma falha que permaneceu após uma correção insuficiente da CVE-2024-56731. A falha permite atualizar arquivos no diretório .git, o que pode levar à execução remota de comandos (CWE-78).
Impacto
- O registro descreve execução remota de comandos, o que colocaria em risco o host que executa o Gogs.
- A pontuação base do NVD é 9.8 pelo CVSS 3.1 (crítica). O GitHub indica 9.3 pelo CVSS 4.0.
- O vetor CVSS 3.1 classifica como alto o impacto na confidencialidade, na integridade e na disponibilidade.
Produtos e versões afetadas
- Gogs, versões anteriores à 0.13.4, descritas no registro como 0.13.3 e anteriores.
- Corrigido nas versões 0.13.4 e 0.14.0+dev, conforme a descrição do registro.
- O campo estruturado de correções do registro está vazio, por isso as versões corrigidas foram extraídas da descrição.
Status de exploração
O CISA KEV não lista esta CVE. Não há exploração ativa confirmada nas fontes consultadas. Uma referência do registro traz a etiqueta Exploit, que descreve o tipo da referência e não confirma, por si só, exploração no mundo real.
Correção e mitigação
- Atualize o Gogs para 0.13.4, ou para 0.14.0+dev ou versão posterior.
- Se a atualização não puder ser aplicada de imediato, restrinja o acesso à instância do Gogs a usuários e redes confiáveis, e limite quem pode gravar nos repositórios.
- Consulte o GitHub Security Advisory GHSA-gg64-xxr9-qhjp para orientações do fornecedor.
Orientações de detecção
- Monitore modificações inesperadas em arquivos dentro de diretórios .git dos repositórios nos servidores Gogs.
- Revise a atividade recente de escrita nos repositórios e os processos do servidor em busca de comandos inesperados iniciados pelo serviço Gogs.
Limitações das informações disponíveis
- O registro não traz análise técnica detalhada da forma como a correção da CVE-2024-56731 foi contornada.
- Dados de EPSS e SSVC estão ausentes, então a probabilidade de exploração além do status no KEV é desconhecida.
- O registro não informa se existe código de exploração público além da etiqueta de referência descrita acima.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O CISA KEV não lista a CVE-2025-64111, e não há exploração ativa confirmada nas fontes consultadas.
Quais versões corrigem o problema?
Segundo a descrição do registro, o problema foi corrigido no Gogs 0.13.4 e 0.14.0+dev.
Qual é a gravidade desta vulnerabilidade?
O NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica). O GitHub indica pontuação CVSS 4.0 de 9.3.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.