Se ha descubierto una vulnerabilidad "zero-day" crítica en el servicio Gogs que permite la ejecución remota de código (RCE) mediante la inyección de argumentos. Aunque requiere una cuenta de usuario, la configuración predeterminada de registro abierto facilita que cualquier atacante comprometa el servidor y robe datos sensibles. Hasta el momento, los desarrolladores no han publicado un parche oficial para solucionar este fallo.



Una vulnerabilidad zero-day no parcheada en el servicio Git autoalojado Gogs puede permitir a los atacantes lograr la ejecución remota de código (RCE) en instancias expuestas a Internet.

Diseñado como una alternativa a GitHub Enterprise o GitLab y escrito en Go, Gogs suele estar expuesto en línea para la colaboración remota.

Este fallo de seguridad de inyección de argumentos de gravedad crítica https://cwe.mitre.org/data/definitions/88.html aún no tiene asignado un ID de CVE, afecta a las versiones más recientes (Gogs 0.14.2 y 0.15.0+dev), y solo puede ser explotado por atacantes autenticados sin privilegios de administrador.

Sin embargo, aunque requiere privilegios de usuario básico para explotarlo, el investigador senior de seguridad de Rapid7, Jonah Burges (quien descubrió el fallo), afirmó que la vulnerabilidad afecta a todos los servidores Gogs con configuraciones predeterminadas.

"Dado que Gogs se distribuye con el registro abierto habilitado por defecto (DISABLE_REGISTRATION = false) y sin límite en la creación de repositorios (MAX_CREATION_LIMIT = -1), un atacante no autenticado puede simplemente crear una cuenta y un repositorio en cualquier instancia configurada por defecto", advirtió Burges el jueves https://www.rapid7.com/blog/post/ve-authenticated-rce-via-argument-injection-gogs-unfixed/.

"Cualquier usuario registrado que cree un repositorio es automáticamente su propietario. A partir de ahí, habilitar la fusión rebase es un simple interruptor en los ajustes, y toda la cadena de explotación puede operarse sin interacción de ningún otro usuario".

La explotación exitosa permite a los atacantes ejecutar código arbitrario remotamente como el usuario del proceso del servidor Gogs mediante solicitudes de extracción (pull requests) que utilizan un nombre de rama malicioso para inyectar el indicador "—exe"c en git rebase durante la operación de fusión "Rebase before merging".

Pueden abusar de este fallo de seguridad "para comprometer el servidor, leer cada repositorio en la instancia (incluidos los repos privados de otros usuarios), volcar credenciales (hashes de contraseñas, tokens de API, claves SSH, secretos de 2FA), pivotar hacia otros sistemas accesibles en la red y modificar el código de cualquier repositorio alojado".

Burges añadió que esta vulnerabilidad es similar a otros fallos de inyección de argumentos (por ejemplo, CVE-2024-39933, CVE-2024-39932, CVE-2026-26194 y CVE-2024-39930) solucionados por Gogs en años recientes, pero afecta a una ruta de código diferente (Merge()) que nunca fue parcheada.

El investigador informó del fallo de seguridad a los mantenedores de Gogs el 17 de marzo, pero estos aún no han proporcionado un parche ni han respondido a nuevas solicitudes de actualización de estado, a pesar de reconocer el informe el 28 de marzo.

El observador de seguridad de Internet Shadowserver rastrea ahora más de 2.400 servidores Gogs expuestos en línea, la mayoría de ellos en Asia (1.894) y Europa (319), mientras que Shodan encontró poco más de 1.000 direcciones IP con una huella de Gogs.

Servidores Gogs expuestos en línea (ShadowServer)

A principios de diciembre, el equipo de seguridad de Gogs parcheó otra vulnerabilidad RCE de Gogs (CVE-2025-8110) que fue explotada en ataques zero-day para comprometer cientos de servidores.

"Muchas de estas instancias están configuradas con el 'Registro Abierto' habilitado por defecto, creando una superficie de ataque masiva", dijeron en aquel momento los investigadores de seguridad de Wiz (quienes informaron del fallo).

Wiz Research descubrió el CVE-2025-8110 mientras investigaba un servidor Gogs comprometido y expuesto a Internet en julio, e informó del fallo a los mantenedores de Gogs el 17 de julio. Estos reconocieron el informe de Wiz tres meses después, el 30 de octubre, y lanzaron los parches para el CVE-2025-8110 https://github.com/gogs/gogs/pull/8078 a principios de enero.

El 12 de enero, CISA confirmó el informe de Wiz https://www.cisa.gov/news-events/alerts/2026/01/12/cisa-adds-one-known-exploited-vulnerability-catalog de que el CVE-2025-8110 estaba bajo explotación activa y añadió el fallo de seguridad https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=+CVE-2025-8110 a su catálogo de vulnerabilidades explotadas en la naturaleza, ordenando a las agencias de la Rama Ejecutiva Civil Federal (FCEB) asegurar sus servidores para el 2 de febrero.

"Este tipo de vulnerabilidad es un vector de ataque frecuente para los actores cibernéticos maliciosos y plantea riesgos significativos para la empresa federal", advirtió CISA en aquel momento.

Fuente:
BleepingComputer