Zranitelnost v Gitu umožňující provádění kódu při klonování z nebezpečného Git repozitáře

Byly zveřejněny opravy distribuovaného systému správy zdrojového kódu Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 a 2.50.2, které opravují 6 zranitelností. Nejvážnější zranitelnost (CVE-2026-111760) umožňuje provedení kódu při použití příkazu „git clone“ v režimu „—recurse-submodules“ s repozitáři, které jsou pod kontrolou útočníka.

Problém je způsoben tím, že délka záznamu s názvem v indexu se počítá pomocí 32bitového celočíselného typu. Při předávání velmi dlouhého názvu typu „.git/....“ dochází k celočíselnému přetečení a útočník může dosáhnout výpočtu délky rovné 4 bajtům. V důsledku toho se při kontrole hodnoty používají skutečné údaje, zatímco při provádění operace zkrácená verze „.git“, což umožňuje útočníkovi nahradit soubor „.git“ v submodulu symbolickým odkazem, který ukazuje na adresář s nastavením a hooky.

Další zranitelnosti:

• CVE-2026-113408 — přístup mimo adresář refs/ pomocí předání symbolického odkazu jako větve HEAD se hodnotou „refs/heads/../../..//TARGET“ při klonování prázdného repozitáře protokolem Git v2. Při následném provedení „git commit“ bude vytvořen soubor TARGET v kořeni repozitáře, což lze využít k přepsání souborů v repozitáři a uspořádání provedení kódu.
• CVE-2026-114467 — přetečení zásobníku při odstraňování GPG podpisů, které potenciálně může vést k provedení libovolného kódu. Problém je způsoben tím, že funkce remove_signature() ukládá pozice podpisů ve fixním poli, které je maximálně navrženo pro dva podpisy. Při předávání tagu se třemi a více podpisy se data ukládají mimo pole.
• CVE-2026-114469 — při kontrole omezení velikosti binárních patchů se počítaly údaje před dekompresí komprimovaných dat, což vedlo k čtení obsahu z oblasti mimo hranice bufferu.
• CVE-2026-105437 — poškození paměti při provádění velkých sloučení kvůli akumulaci velikosti výsledku v poli typu int. V konfiguraci GitLab může být zranitelnost zneužita k provedení kódu (problém je blokován v GitLab 19.5.4).
• CVE-2026-114466 — přepis libovolných souborů v FS prostřednictvím příkazu „git fast-import“ kvůli neúplnému odstranění zranitelnosti CVE-2019-1348.

Zdroj: opennet.ru