CVE-2026-52814

Nome do Software Vulnerável e Versões Afetadas Gogs versões anteriores a 0.14.3

Description O servidor SSH integrado em Go está suscetível a um ataque de Negação de Serviço (DoS) assimétrico e não autenticado. A aplicação aceita conexões TCP recebidas e as passa para a função NewServerConn() dentro de uma nova goroutine sem impor prazos (deadlines) de leitura/escrita na variável net.Conn subjacente. Um invasor pode abrir inúmeras conexões TCP na porta SSH e simplesmente reter o banner do protocolo SSH, forçando o servidor a gerar um número ilimitado de goroutines que ficam bloqueadas indefinidamente aguardando E/S de socket. Isso resulta na exaustão completa de Descritores de Arquivo (FD), impedindo que usuários legítimos acessem o serviço Git SSH e podendo desestabilizar todo o processo, levando a problemas como falhas na rotação interna de logs. O problema ocorre porque a função listen() em internal/ssh/ssh.go não chama o método SetDeadline(), fazendo com que o processo bloqueie permanentemente no socket TCP do kernel durante o handshake criptográfico.

Recommendations Atualize o Gogs para a versão 0.14.3. Como medida de mitigação temporária, restrinja o acesso à porta SSH para minimizar o risco de exploração.