CVE‑2025‑8110: Aktive Zero‑Day in Git‑Diensten - RCE über Symlink‑Bypass

Eine aktiv ausgenutzte Zero‑Day‑Schwachstelle (CVE‑2025‑8110) betrifft einen weit verbreiteten, selbstgehosteten Git‑Dienst. Authentifizierte Nutzer können über symbolische Links (Symlinks) Dateien außerhalb des Repository‑Verzeichnisses überschreiben und so Remote Code Execution (RCE) erreichen. Besonders kritisch: Die Lücke umgeht einen Fix aus 2024 (CVE‑2024‑55947) und wird nach derzeitiger Lage seit Monaten automatisiert in Breite angegriffen. Zum Zeitpunkt der Veröffentlichung existiert kein offizielles Update. Betreiber sollten sofort temporäre Schutzmaßnahmen umsetzen, die Angriffsfläche minimieren und aktiv nach Kompromittierungsindikatoren suchen.

Die Kernursache liegt in der unzureichenden Pfadvalidierung einer Datei‑Schreib‑API. Obwohl Server‑seitig eigentlich verhindert werden soll, dass Schreibzugriffe das Repository‑Verzeichnis verlassen, lässt sich diese Kontrolle über Symlinks umgehen. In vielen Instanzen genügt die Standardberechtigung, neue Repositories anzulegen. Ein Angreifer kann dann:

Besonders wirkungsvoll ist das Manipulieren von .git/config. Wird dort etwa der Parameter core.sshCommand oder ein anderer serverseitig ausgeführter Hook/Transport manipuliert, lassen sich Befehle auf dem Host mit den Rechten des Dienstes ausführen. Aufgrund der automatisierten Ausnutzung sind breitflächige Scans und anschließende Massenkompromittierungen realistisch, vor allem bei öffentlich erreichbaren Instanzen mit freier Registrierung.

Suchen Sie prioritär nach:

Setzen Sie umgehend kompensierende Kontrollen um, um die Ausnutzung zu erschweren und Folgeschäden zu begrenzen:

Schnellstart‑Checkliste:

Beispielhafte Suchmuster/Queries (an Ihre Umgebung anpassen):

grep -E "CREATE REPO|New repository" /var/log/your-git-service/*.log | grep -E "[A-Za-z0-9]{8}(.git)?$"

find /srv/git -type f -path "*/.git/config" -mtime -7 -print -exec grep -nE "core.sshCommand|url|hook" {} ;

find /srv/git -type l -printf "%p -> %l\n" | awk -v base="/srv/git" 'index($0, base)!=1'

zgrep -E 'POST|PUT' /var/log/nginx/access*.log* | grep -E '/api/.*/(write|upload|contents)'

grep -E "CREATE USER|New user" /var/log/your-git-service/*.log

journalctl -u systemd | grep -Ei "Created slice|New unit|enabled" systemctl list-timers --all

ps aux | grep -E "ssh .(-R|-L).(-N| -f)" | grep -v grep ss -tpna | grep ssh

Hinweis: Pfade und Logquellen an Ihre Installation anpassen (Container/VM/Host). Ergänzen Sie EDR/IDS‑Signaturen und SIEM‑Regeln.

Als inhabergeführter End‑to‑End‑IT‑Partner unterstützt Wärner Technologie Services (WTS) Sie kurzfristig und nachhaltig:

Wenn Sie betroffen sind oder präventiv handeln wollen, erhalten Sie eine kostenfreie Erstberatung. Kontakt: info@waerner-techservices.de, +49 (0) 9128 4009950.