Gogs CVE-2025-8110: aktiv ausgenutzt, kein Patch

Schlechte Nachrichten für alle, die ihren Code selbst hosten: Die US-Cyberbehörde CISA hat eine Sicherheitslücke im beliebten Git-Server Gogs als aktiv ausgenutzt markiert. Heißt im Klartext: Angreifer nutzen die Lücke gerade JETZT in freier Wildbahn aus. Und das Schlimmste daran — ein offizieller Patch ist bislang nicht in Sicht.

GEFAHR: Was genau passiert da?

Die Lücke trägt das Kürzel CVE-2025-8110 und einen CVSS-Wert von 8.7 auf der neuen v4.0-Skala. Das ist „hoch“ — knapp unter kritisch. Der Fehler steckt in der sogenannten PutContents-API von Gogs, also der Schnittstelle, über die Dateien im Repository geschrieben werden.

Das Problem: Gogs geht mit symbolischen Links (Symlinks) zu sorglos um. Ein Symlink ist nichts anderes als ein Wegweiser, der auf eine andere Datei zeigt. Ein angemeldeter Nutzer kann diesen Wegweiser so manipulieren, dass er aus dem Repository herauszeigt — auf Dateien, die ihn eigentlich gar nichts angehen. Im schlimmsten Fall überschreibt der Angreifer damit Systemdateien und bringt eigenen Code zur Ausführung. Das nennt man Remote Code Execution (RCE) — die Königsklasse der Server-Übernahme.

SCHOCK: Du brauchst nicht mal Admin-Rechte

Der gemeine Teil: Es reicht ein ganz normaler, angemeldeter Account. Kein Admin, kein Root. Wer auf deinem Gogs ein Konto anlegen darf, hält damit potenziell den Generalschlüssel in der Hand. Auf öffentlich erreichbaren Instanzen mit offener Registrierung ist das ein gefundenes Fressen.

So schützt du deinen Server in 5 MINUTEN

Solange es keinen Patch gibt, heißt die Devise: Angriffsfläche verkleinern. Diese Schritte solltest du sofort gehen:

Offene Registrierung abschalten. In der app.ini unter [service] den Wert DISABLE_REGISTRATION = true setzen. So kommt kein Fremder mehr an einen Account.
Gogs aus dem offenen Internet nehmen. Pack den Dienst hinter einen VPN-Tunnel (WireGuard, Tailscale) oder ein Reverse-Proxy mit Authentifizierung. Was nicht erreichbar ist, kann nicht angegriffen werden.
Logs prüfen. Schau in die Zugriffs-Logs nach verdächtigen Schreibzugriffen über die API.
Umzug erwägen. Die aktiv gepflegten Forks Gitea und Forgejo sind die offensichtlichen Alternativen — beide stammen ursprünglich von Gogs ab und lassen sich vergleichsweise sauber migrieren.

EXTRA-TIPP: Warum „kein Patch“ so brisant ist

Gogs gilt als schlank und genügsam — perfekt fürs Homelab auf einem Raspberry Pi. Aber die Entwicklung läuft seit Jahren nur noch auf Sparflamme. Genau deshalb ist „aktiv ausgenutzt, aber kein Fix“ hier besonders gefährlich: Du kannst nicht einfach auf das nächste Update warten. Du musst selbst handeln.

FAZIT: Wenn du Gogs betreibst, behandle deinen Server ab sofort als angreifbar. Registrierung dicht, Zugriff abschotten, Logs checken — und mittelfristig den Umstieg auf Gitea oder Forgejo planen.

Häufige Fragen

Bin ich betroffen, wenn mein Gogs nur im Heimnetz läuft?

Das Risiko ist deutlich kleiner, aber nicht null. Die Lücke setzt einen angemeldeten Nutzer voraus. Läuft dein Gogs nur intern und haben nur vertrauenswürdige Personen Zugriff, ist die akute Gefahr gering. Trotzdem solltest du die offene Registrierung deaktivieren und den Umstieg auf einen gepflegten Fork einplanen.

Wie merke ich, ob mein Server bereits angegriffen wurde?

Achte in den Logs auf ungewöhnliche Schreibzugriffe über die Datei-API, neu angelegte Accounts oder veränderte Systemdateien. Auch unerwartete Prozesse oder ausgehende Verbindungen sind Warnsignale. Im Zweifel: Server isolieren und aus einem sauberen Backup neu aufsetzen.

Gibt es schon einen Patch oder ein Update?

Stand jetzt ist kein offizieller Fix für Gogs verfügbar — genau das macht die Lage heikel. Bis sich das ändert, hilft nur, die Angriffsfläche zu reduzieren: Registrierung sperren, Dienst hinter VPN oder Auth-Proxy verstecken und Zugriffe streng begrenzen.

Lohnt sich der Umstieg auf Gitea oder Forgejo?

Für die meisten Homelab-Nutzer: ja. Beide werden aktiv weiterentwickelt, bekommen regelmäßig Sicherheits-Updates und stammen aus demselben Code-Stammbaum wie Gogs. Die Migration ist überschaubar, weil das Datenmodell ähnlich ist — vorher unbedingt ein Backup ziehen.

Quellen:

GIT-ALARM! Gogs-Server werden JETZT live gekapert — und ein Patch fehlt