Alerta de segurança: Vulnerabilidade crítica em Gogs permite execução remota de código mediante git rebase --exec sem adesivo oficial ou CVE disponível

Foi divulgada uma vulnerabilidade crítica em Gogs, o serviço Git auto-alojado de código aberto, que permite a execução remota de código (RCE) por usuários autenticados sob condições relativamente simples. Segundo a análise pública da assinatura de segurança que a reportou, a falha recebe uma pontuação alta no sistema CVSS e, de momento, não conta com um identificador CVE nem com um adesivo oficial disponível, o que deixa muitas instalações numa situação de risco imediato.

O problema aproveita uma característica legítima do Git: o comando git rebase suporta a opção -- exec, que executa um comando de shell após aplicar cada commit durante um rebase. Em Gogs, um atacante pode inserir esse flag no nome de um ramo maliciosa e, se a instância estiver configurada para permitir a operação de "Rebase before merging", induzir o servidor a executar código arbitrário ao realizar o rebase. O particularmente preocupante deste vetor é que não requer privilégios de administrador ou interação de outros usuários: em instalações com a configuração por defeito, qualquer conta registrada pode criar um repositório e será seu proprietário, ativar a opção de rebase na interface e desencadear a exploração do seu próprio repositório.

As implicações operacionais são graves. Um atacante com sucesso pode obter execução no servidor que aloja Gogs, exfiltrar repositórios privados, volcar credenciais, mover-se lateralmente pela rede e modificar o código armazenado. Em ambientes multi-utilizados ou multi-inquilino isso se traduz em risco de fuga entre tenants, com exposição de projetos e segredos de terceiros hospedados na mesma máquina. Além disso, a facilidade de exploração e a existência de um módulo para Metasploit que automatiza a cadeia completa aumentam a probabilidade de ataques reais e massivos contra instâncias não protegidas.

Enquanto não houver um adesivo oficial, é urgente agir e aplicar contramedidas defensivas que reduzam a superfície de ataque. As medidas mais diretas e práticas incluem desativar o registro público de usuários para impedir que atacantes criem contas novas (por exemplo, configurando DISABLE_REGISTRATION = true em app.ini), restringir ou proibir a criação de repositórios por usuários normais (por exemplo, MAX_CREATION_LIMIT = 0), e desactivar a opção de rebase como método de fusão até que haja uma correção disponível. Também é prudente auditar todos os repositórios com rebase ativado e revisar quem tem permissões de escrita e fusão.

A detecção e pesquisa devem priorizar sinais concretos: revisar os registros do servidor web e do Gogs em busca de erros 500 coincidentes com atividade de criação/eliminação de repositórios, verificar se existem ramos com nomes que incluam caracteres suspeitos ou flags incorporados, e procurar artefatos em repositórios explorados (em alguns casos a criação e eliminação do repositório por parte do atacante deixam poucos rastros salvo entradas HTTP e metadados). Asuma risco se detectar novas contas com atividade de criação de repositórios ou merges com operações de rebase pouco habituais. Em caso de suspeita de compromisso, aisle a instância, faça um inventário de acessos e chaves, mude credenciais administrativas e chaves sensíveis, e considere a rotação de segredos que possam ter sido expostos.

É importante planejar mitigações adicionais a médio prazo: aplicar segmentação de rede para que o servidor de Gogs não tenha acesso direto a sistemas críticos, endurecer políticas de naming de ramos e validação de entradas (se a sua implantação o permitir), limitar a capacidade dos usuários de ativar operações perigosas e seguir de perto a publicação de um adesivo oficial por parte do projeto. Mantenha cópias verificadas dos repositórios fora da instância vulnerável e estabeleça procedimentos de resposta para restaurar de backups se for confirmada manipulação maliciosa.

Para aprofundar a função de base e a sua opção --exec, consultar a documentação oficial do Git em https://git-scm.com/docs/git-rebase. A página do projeto Gogs e seu código fonte estão disponíveis em https://github.com/gogs/gogs, e quem quiser rever as ferramentas de exploração públicas pode consultar o repositório de Metasploit em https://github.com/rapid7/metasploit-framework, embora sua presença reforça a urgência de aplicar as mitigações recomendadas em vez de tentar reproduzir o ataque em ambientes de produção.

Em resumo, trate esta vulnerabilidade como prioritária: bloquee o registro público e a criação de repositórios se possível, desactive o rebase como método de fusão, audite permissões e atividade recente, e prepare-se para aplicar o adesivo oficial enquanto estiver disponível. A ausência de um CVE ou de um arranjo não reduz a gravidade técnica da falha, e a exposição de servidores Gogs na internet faz com que a janela de exploração seja real e atualmente ativa.