Gogs: לפי Wiz, פרצת יום אפס בלי תיקון פגעה במעל 700 שרתי Git
ב-10 בדצמבר 2025 פרסמה Wiz Research שפרצת יום אפס ב-Gogs, CVE-2025-8110, שימשה לפריצה של מעל 700 שרתי Git. בעת הפרסום לא היה לה תיקון.
TL;DR בקצרה
- Wiz פרסמה ב-10 בדצמבר 2025 את CVE-2025-8110, פרצת יום אפס בשירות Git לאירוח עצמי Gogs, שמאפשרת למשתמש רשום להריץ קוד.
- מתוך כ-1,400 שרתים חשופים, מעל 700 נפרצו, לפי Wiz, והנוזקה קשורה ל-Supershell.
- התוקף יוצר מאגר, מעלה symlink וכותב דרכו קובץ מחוץ למאגר. ההרשמה פתוחה כברירת מחדל.
- המלצת Wiz בזמן הפרסום: לכבות הרשמה פתוחה ולהגביל גישה. ב-23 בינואר 2026 שוחררה גרסה 0.13.4 עם תיקון.
ב-10 בדצמבר 2025 פרסמה Wiz Research שפרצת יום אפס ב-Gogs, שירות Git לאירוח עצמי, שימשה לפריצה של מעל 700 שרתים. הפרצה, CVE-2025-8110, מאפשרת למשתמש רשום להריץ קוד על השרת. בעת הפרסום עדיין לא היה לה תיקון.
Wiz סרקה את האינטרנט ומצאה מעל 1,400 שרתי Gogs שחשופים החוצה. לדבריה, התוקפים השתלטו על למעלה ממחצית מהשרתים שנבדקו. שרת Git הוא יעד מועיל לתוקפים, כי הוא מחזיק קוד מקור ולעיתים גם סודות שנשכחו במאגרים. מי שמפעיל Gogs בעסק או בצוות פיתוח צריך לבדוק את השרת שלו מיד.
איך הפרצה ב-Gogs עובדת
Gogs הוא שירות Git שכתוב ב-Go, ו-Wiz מציגה אותו כחלופה קלה ל-GitLab ול-GitHub Enterprise. הפרצה עוקפת את התיקון הקודם, ל-CVE-2024-55947. התיקון ההוא בדק שמות נתיבים, אבל לא בדק לאן מצביע קישור סימלי (symlink).
התקיפה מתבצעת בארבעה שלבים. התוקף יוצר מאגר, ולמשתמשים רגילים זה מותר כברירת מחדל. הוא מעלה למאגר symlink שמצביע על יעד רגיש בשרת. אחר כך הוא משתמש ב-API של PutContents. כך הוא דורס, דרך ה-symlink, את היעד שמחוץ למאגר.
בשלב האחרון הוא דורס את ההגדרה sshCommand בקובץ git/config. כך הוא מריץ פקודות על השרת. ההרשמה לשירות פתוחה כברירת מחדל, ולכן שרת שחשוף לאינטרנט ופתוח להרשמה פגיע.
איך Wiz גילתה את הפריצות ל-Gogs
Wiz חקרה נוזקה בסביבת ענן של לקוח. השרת שנפרץ הריץ את Gogs 0.13.2, שהיה אמור להיות מוגן מ-CVE-2024-55947. בשרת היו מאגרים חשודים עם שמות אקראיים בני שמונה תווים, שנוצרו חמישה ימים לפני כן.
כל השרתים שנפרצו נשאו את אותו דפוס שמות ואותו מועד יצירה, 10 ביולי. לכן Wiz מעריכה שמדובר בתוקף אחד או בקבוצה עם אותם כלים. Wiz מתארת נוזקה בשפת Go, וקשרה אותה למסגרת Supershell, כלי קוד פתוח לשליטה מרחוק שפותח מעטפת SSH הפוכה.
לפי ציר הזמן של Wiz, ב-10 ביולי 2025 היא ראתה ניצול ראשון. ב-17 ביולי היא דיווחה למתחזקי Gogs, וב-30 באוקטובר הם אישרו את הפרצה. ב-1 בנובמבר הופיע גל שני של תקיפות. ב-10 בדצמבר פרסמה Wiz את הפוסט, בזמן שהפרצה עדיין בלי תיקון.
מה עושים ב-Gogs עד לתיקון
הגרסאות 0.13.3 ומטה חשופות. Wiz ממליצה לכבות הרשמה פתוחה. בנוסף, היא ממליצה להגביל את החשיפה לאינטרנט באמצעות VPN או רשימת כתובות מורשות. כדי לבדוק אם תקפו אתכם, חפשו מאגרים עם שמות אקראיים בני שמונה תווים. חפשו גם שימוש חריג ב-API של PutContents.
מה זה אומר עבורכם
- בדקו אם Gogs רץ אצלכם: חפשו שרתי Git לאירוח עצמי, גם אלה ששכחו בצוות מסוים. הגרסאות 0.13.3 ומטה חשופות.
- כבו הרשמה פתוחה: זו ברירת המחדל, והיא מאפשרת לכל אחד ליצור חשבון ומאגר.
- הוציאו את השרת מהאינטרנט: הציבו אותו מאחורי VPN או רשימת כתובות מורשות.
- חפשו עקבות: בדקו מאגרים עם שמות אקראיים בני שמונה תווים ושימוש חשוד ב-PutContents. מצאתם כאלה? נתקו את השרת והחליפו מפתחות וסיסמאות שישבו בו.
- חשדתם בפריצה? הניחו שקוד המקור, המפתחות ופרטי הגישה במאגרים נחשפו, והחליפו אותם.
מה קרה מאז
ב-23 בינואר 2026 שחרר הפרויקט את Gogs 0.13.4. בהערות הגרסה מופיע תיקון להרצת קוד דרך ה-API שמעדכן קבצים במאגר. Wiz הוסיפה לפוסט שלה עדכון: התיקון ל-CVE-2025-8110 כלול בגרסה הזאת.
מקורות והרחבה
- Gogs 0-Day Exploited in the WildWiz
- Hackers exploit unpatched Gogs zero-day to breach 700 serversBleepingComputer
- Gogs v0.13.4 release notesGitHub
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
