CVE-2026-52814

Gogs, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir Git servisidir. 0.14.3 sürümünden önce, Gogs'un yerleşik Go SSH sunucusu, kimlik doğrulaması gerektirmeyen asimetrik bir Hizmet Reddi (DoS) saldırısına karşı savunmasızdır. Uygulama, gelen TCP bağlantılarını kabul eder ve temel net.Conn üzerinde herhangi bir okuma/yazma zaman aşımı uygulamadan bunları yeni bir goroutine içindeki golang.org/x/crypto/ssh.NewServerConn'a aktarır. Kimliği doğrulanmamış bir saldırgan, SSH portuna birden fazla TCP bağlantısı açabilir ve SSH protokol banner'ını göndermeyerek bekletebilir. Bu durum, sunucuyu soket G/Ç işlemini süresiz olarak bekleyen sınırsız sayıda goroutine oluşturmaya zorlar. Bu da Dosya Tanımlayıcılarının (FD) tamamen tükenmesine yol açarak meşru kullanıcıların Git SSH servisine erişmesini engeller ve nihayetinde tüm Gogs sürecini istikrarsızlaştırır (örneğin, dahili günlük döndürme hatalarına neden olur). Bu güvenlik açığı 0.14.3 sürümünde giderilmiştir.