GogsにおけるRCEを含む複数の脆弱性（CVE-2026-52813等）— バージョン0.14.3で修正済み

【なぜ重要か】 オープンソースのGitホスティングプラットフォーム「Gogs」において、AIペネトレーションテストにより発見されたリモートコード実行（RCE）を含む複数の深刻な脆弱性が報告された。これらはバージョン0.14.3で修正されているが、一部にはまだ未修正のバイパスが残存しており、Gogsを自己ホストしている組織は早急な対応が必要である。

【ポイント】

• 【CVE-2026-52813：パストラバーサルからのRCE】組織名のバリデーションが不十分で、../../../../../tmp/testのような名前の組織を作成できる。これによりGitリポジトリのメタデータを任意のファイルシステム上の場所に書き込むことが可能となり、さらにネストされたリポジトリのgit hooksファイル（hooks/update）を細工することで、gitユーザー権限でのRCEが達成される。
• 【悪用手法の詳細（RCE）】攻撃者はまず通常リポジトリの作業ディレクトリ（worktree）を作成し、次にパストラバーサルを利用してそのworktree内にベアリポジトリを配置。UIのパス検証（.git/を含むパスの編集を禁止）はネイティブgit pushで回避でき、悪意あるhooks/updateスクリプトを注入してプッシュをトリガーすることでRCEが成立する。
• 【CVE-2026-52810：読み取り専用リポジトリへの不正書き込み】GitのHTTPスマートプロトコルにおける認可ロジックのバグ。/git-receive-pack（書き込み）へのリクエストにservice=git-upload-packクエリパラメータを付加すると、Gogsが読み取りリクエストと誤認し、書き込み権限のないユーザーがプッシュできてしまう。プライベートリポジトリに読み取り専用コラボレーターとして招待されたユーザーでも悪用可能。
• 【XSS脆弱性（GHSA-6vxv-wg6j-5qwp）】GogsがJupyterノートブックのレンダリングに使用していたライブラリにXSS脆弱性が存在した。
• 【修正状況と残存リスク】上記の主要脆弱性はバージョン0.14.3で修正済み。ただし、Aikidoが報告した脆弱性のうち1件のバイパスがまだ未修正であり、ブログ記事内で手動コードパッチが提供されている。

【まとめ】 Gogsをセルフホストしている場合は直ちにバージョン0.14.3以降へアップデートし、未修正バイパスに対しては提供されている手動コードパッチを適用することが推奨される。