Критическая RCE в Gogs позволяет выполнить произвольный код

Коллеги, хочу обратить внимание: в сфере кибербезопасности обнаружена критическая RCE в Gogs.

Кратко:
- Rapid7: создание PR с вредоносным именем ветки внедряет --exec в git rebase при «Rebase before merging».
- Для атаки не требуются права администратора — достаточно зарегистрироваться и создать репозиторий с дефолтными настройками.
- Возможный результат: компрометация сервера, доступ к репозиториям, утечка учётных данных и межарендные утечки.

Рекомендации:
- Отключить регистрацию и/или ограничить создание репозиториев;
- Проверить/отключить rebase-слияние и провести аудит логов.

Почему это важно: уязвимость затрагивает все платформы и опасна для инфраструктуры.

Какие меры Вы планируете?

#кибербезопасность #Gogs #RCE #DevSecOps