CVE-2026-52814
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 — wyżej niż 42% wszystkich znanych CVE
Streszczenie
Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 była podatna na nieautoryzowany, asymetryczny atak typu Denial of Service (DoS) poprzez wbudowany serwer SSH. Atakujący mógł otworzyć wiele połączeń TCP do portu SSH, co prowadziło do wyczerpania deskryptorów plików i destabilizacji całego procesu Gogs.
Ocena ryzyka
Podatność ta może prowadzić do całkowitego wyczerpania zasobów serwera, co uniemożliwia dostęp legalnym użytkownikom do usługi Git SSH oraz może powodować inne problemy operacyjne.
Rekomendacja
Zaleca się aktualizację Gogs do wersji 0.14.3 lub nowszej, aby usunąć tę podatność i zabezpieczyć serwis przed potencjalnymi atakami.
Oryginalny opis (angielski, źródło NVD)
Gogs is an open source self-hosted Git service. Prior to 0.14.3, the Gogs built-in Go SSH server is vulnerable to an unauthenticated, asymmetric Denial of Service (DoS) attack. The application accepts inbound TCP connections and passes them to golang.org/x/crypto/ssh.NewServerConn inside a new goroutine without enforcing any read/write deadlines on the underlying net.Conn. An unauthenticated attacker can open multiple TCP connections to the SSH port and simply withhold the SSH protocol banner. This forces the server to spawn an unbounded number of goroutines that block indefinitely waiting for socket I/O. This leads to complete File Descriptor (FD) exhaustion, preventing legitimate users from accessing the Git SSH service, and ultimately destabilizing the entire Gogs process (e.g., causing internal log rotation failures). This vulnerability is fixed in 0.14.3.