1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. Gogsに深刻な脆弱性、ゼロデイ攻撃で悪用を検知(CVE-2025-8110)

Gogsに深刻な脆弱性、ゼロデイ攻撃で悪用を検知(CVE-2025-8110)

セキュリティニュース

投稿日時: 更新日時:

Gogsに深刻な脆弱性、ゼロデイ攻撃で悪用を検知(CVE-2025-8110)

GitHubやGitLabの代替として利用されるセルフホスト型Gitサービス Gogs において、深刻なリモートコード実行（RCE）脆弱性が明らかになりました。
本脆弱性は CVE-2025-8110 として識別されており、すでにゼロデイ攻撃として実際に悪用されていることが確認されています。

脆弱性の概要

CVE-2025-8110は、Gogsの PutContents API におけるシンボリックリンク（symlink）の検証不備に起因します。
このAPIはリポジトリ内のファイルを更新するためのものですが、パスの検証は行っている一方で、シンボリックリンクのリンク先がリポジトリ外を指しているかどうかを適切に確認していませんでした。

その結果、認証済みの攻撃者が以下の手順でRCEを成立させることが可能でした。

  • リポジトリ内に、リポジトリ外のファイル（例：/.git/config）を指すシンボリックリンクを作成

  • PutContents APIを利用して、そのリンク先ファイルを上書き

  • Git設定の sshCommand などを書き換えることで、次回のGit操作時に任意コマンドを実行

この脆弱性は、過去に修正されたRCE（CVE-2024-55947）の防御を回避できる形となっており、影響の深刻さが指摘されています。

影響と深刻度：CVSS 8.7、実被害も確認

本脆弱性の深刻度は、セキュリティ企業 Wiz により CVSS 4.0スコア 8.7（High） と評価されています。

Wizの調査によると、

  • インターネット上に1,400台以上のGogsサーバーが公開状態

  • そのうち 700台以上で侵害の痕跡を確認

  • 2025年11月1日以降、第2波のゼロデイ攻撃を観測

とされており、すでに広範囲に被害が及んでいる可能性があります。

CISAの対応：KEV追加と修正期限の設定

CISAは、CVE-2025-8110が実際に攻撃で悪用されている脆弱性であることを確認し、KEVカタログに追加しました。
これにより、米国の連邦文民行政機関（FCEB）に対し、2026年2月2日までに修正を適用することが義務付けられています。

CISAは次のように警告しています。

この種の脆弱性は、悪意ある攻撃者にとって頻繁に利用される侵入経路であり、連邦政府全体に重大なリスクをもたらす。

Gogsはパッチを公開

Gogs開発チームは、本脆弱性に対応する修正をGitHub上で公開しました。
修正内容の要点は以下のとおりです。

  • シンボリックリンクを考慮したパス検証を全ファイル書き込み処理に追加

  • filepath.EvalSymlinks() を用いてリンク先を解決し、リポジトリ外への書き込みを遮断

  • チェーン化されたsymlinkや相対パスによる回避も防止

これにより、symlinkを悪用したリポジトリ外ファイルの上書きはブロックされます。

関連記事

SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887)SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887) Google、Chrome 141の安定版で2件の危険性の高い脆弱性(CVE-2025-11205,CVE-2025-11206)を含む21件の脆弱性を修正Google、Chrome 141の安定版で2件の危険性の高い脆弱性(CVE-2025-11205,CVE-2025-11206)を含む21件の脆弱性を修正 Google、Chromeのサンドボックス脱出の脆弱性 発見者へ25万ドル（約3,675万円）の報奨Google、Chromeのサンドボックス脱出の脆弱性 発見者へ25万ドル（約3,675万円）の報奨 RMM 製品 N-centralの脆弱性が悪用の可能性-CISAのKEVに追加(CVE-2025-8875)RMM 製品 N-centralの脆弱性が悪用の可能性-CISAがKEVに追加(CVE-2025-8875) NEC「Aterm」シリーズのWifi ルーターで複数の脆弱性 不正アクセスで権限乗っ取りの可能性もNEC「Aterm」シリーズのルーターで複数の脆弱性 不正アクセスで権限乗っ取りの可能性も Veeam Backup & Replication 13、複数の深刻な脆弱性を修正(CVE-2025-55125,CVE-2025-59469,CVE-2025-59470)Veeam Backup & Replication 13、複数の深刻な脆弱性を修正(CVE-2025-55125,CVE-2025-59469,CVE-2025-59470) Adobe(アドビ) Experience Manager Forms（JEE）の脆弱性 CVE-2025-54253がCISAのKEVに登録-至急アップデートをAdobe(アドビ) Experience Manager Forms（JEE）の脆弱性 CVE-2025-54253がCISAのKEVに登録-至急アップデートを トレンドマイクロ Apex Centralに複数の脆弱性(CVE-2025-69258 / 69259 / 69260)トレンドマイクロ Apex Centralに複数の脆弱性(CVE-2025-69258 / 69259 / 69260) SAP、ゼロデイ攻撃で悪用された脆弱性を修正（CVE-2025-42999）SAP、ゼロデイ攻撃で悪用された脆弱性を修正（CVE-2025-42999）