„`html
Zusammenfassung
Eine Server-Side Request Forgery (SSRF) Sicherheitslücke wurde in Forgejo bis Version 15.0.4 identifiziert. Die Vulnerability befindet sich im Repository Migration Handler und ermöglicht es einem Angreifer, Netzwerkanfragen vom betroffenen Server aus zu manipulieren. Mit einem CVSS-Wert von 6.3 wird die Sicherheitslücke als Medium-Severity eingestuft. Da der Exploit bereits öffentlich verfügbar ist, besteht ein erhöhtes Risiko für produktive Systeme.
Betroffene Systeme
Betroffen sind Forgejo-Installationen in den Versionen bis einschließlich 15.0.4. Die Schwachstelle liegt in der Funktion net.LookupIP in der Datei services/migrations/allowlist/is_migrate_allowed.go. Systeme mit älteren oder nicht gepatchten Versionen sind vulnerabel. Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung.
Technische Details
Die Vulnerability ermöglicht Server-Side Request Forgery durch Manipulation der IP-Lookup-Funktionalität des Repository Migration Handlers. Angreifer können diese Schwachstelle ausnutzen, um:
- Interne Netzwerkressourcen zu scannen
- Anfragen an lokale oder interne Dienste zu senden
- Sensitive Daten von nicht erreichbaren Systemen abzurufen
- Denial-of-Service Attacken durchzufĂĽhren
Der betroffene Code-Abschnitt verarbeitet Migrationsanfragen ohne ausreichende Validierung der Zieladressen.
Empfohlene Massnahmen
Die Projektentwickler haben angekĂĽndigt, dass kein Backport fĂĽr die Versionen v15 und v16 geplant ist, da es sich um eine Breaking Change handelt. Benutzer sollten:
- Forgejo auf eine neuere Version upgraden, sobald verfĂĽgbar
- Den Patch
b313bb83f5ff22bcc0378e0e0ca7bbd58303f168aus der Entwicklungsversion anwenden - Netzwerk-Zugriffe auf den Forgejo-Server einschränken
- Repository-Migration-Funktionen temporär deaktivieren
- Logs auf verdächtige Migrationsaktivitäten überwachen
Bewertung
CVSS v3.1: 6.3 (Medium)
Die Schwachstelle erfordert Netzwerkzugriff, ermöglicht aber keinen direkten Zugriff auf kritische Systeme. Der öffentlich verfügbare Exploit erhöht die praktische Bedrohung. Organisationen sollten zeitnah reagieren und Update-Strategien evaluieren.
„`