Trusted Design

解説:

CVE‑2025‑8110は、Gogs（セルフホスト型 Git サービス）に存在するパストラバーサル脆弱性で、PutContents APIにおける不適切なシンボリックリンク処理が原因です。 この脆弱性は実際に悪用されており（actively exploited）、700以上のGogsインスタンスが侵害されたと報告されています。

1. 脆弱性の概要 【影響】 ・任意ファイルの上書きが可能となります。（リポジトリ外のファイルを含む） ・結果としてリモートコード実行（RCE）が可能となります。 ・攻撃者はシンボリックリンクを利用し、sshCommandなどのGit設定ファイルを上書きして任意コマンドを実行できてしまいます。

【深刻度】 ・CVSS 4.0：8.7 High

1. 対象となる環境 【影響を受ける製品】 ・Gogs（Self‑hosted Git service）

【影響を受けるバージョン】 ・具体的な影響バージョンは公開情報に明記されていません。 ・この脆弱性はCVE‑2024‑55947の修正を回避するゼロデイです。

【影響を受ける設定】 ・PutContents APIが利用可能な環境。 ・インターネットに公開されたGogsインスタンス 　実際に、1,400以上が公開され、700以上が侵害を受けています。

1. 影響を受けた時の兆候 観測された侵害パターンがあります。 ・ランダムな8文字の名前のリポジトリが7月に作成されている。 ・多数のインスタンスで 同一の攻撃パターン が確認 ・Wiz Research が マルウェア感染の調査中に発見

2. 推奨対策 【本対策（恒久対策）】 ・Gogs開発者によるパッチ適用が推奨（CISAが推奨）

【暫定回避策（緩和策）】 CISA の推奨策 ・パッチや緩和策が利用できない場合は、影響製品の使用を中止 ・インターネット公開を避ける ・PutContents APIの利用制限

1. 追加で知っておくべき観点 【技術的性質】 ・CWE‑22（パストラバーサル） ・シンボリックリンクを利用したディレクトリ外ファイル上書き