Sårbarhed i Git, der muliggør kodeudførelse ved kloning fra et ondsindet Git-repositorium

Der er offentliggjort rettelsespakker til det distribuerede system til kildekodestyring Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 og 2.50.2, hvori der er rettet 6 sårbarheder. Den mest kritiske sårbarhed (CVE-2026-111760) muliggør udførelse af kode ved anvendelse af kommandoen „git clone“ i tilstanden „—recurse-submodules“ med repositories kontrolleret af en angriber.

Problemet skyldes, at længden af en post med et navn i indekset beregnes ved hjælp af en 32-bit heltals type. Ved overførsel af et meget langt navn i formatet „.git/....“ opstår der et heltalsoverløb, og angriberen kan opnå en længde lig med 4 bytes. Som følge heraf anvendes faktiske data ved tjek af værdierne, mens den afkortede version „.git“ anvendes under udførelsen af operationen, hvilket gør det muligt for angriberen at erstatte filen „.git“ i submodulet med et symbolsk link, der peger på en mappe med indstillinger og hooks.

Andre sårbarheder:

• CVE-2026-113408 — kataloggrænseoverskridelse under overførsel af et symbolsk link som HEAD med værdien „refs/heads/../../..TARGET“ ved kloning af et tomt repository via Git v2-protokollen. Ved efterfølgende udførelse af „git commit“ oprettes filen TARGET i roden af repositoryet, hvilket kan bruges til at overskrive filer i repositoryet og til at eksekvere kode.
• CVE-2026-114467 — stakoverløb ved fjernelse af GPG-signaturer, som potentielt kan føre til udførelse af vilkårlig kode. Problemet opstår, fordi funktionen remove_signature() gemmer signaturpositioner i et fast array, der maksimalt er beregnet til to signaturer. Ved overførsel af et tag med tre eller flere signaturer gemmes data uden for arrayet.
• CVE-2026-114469 — ved kontrol af begrænsninger på størrelsen af binære patches blev der taget højde for data før udpakning af komprimerede data, hvilket førte til læsning af indhold fra uden for bufferens grænser.
• CVE-2026-105437 — hukommelsesskader ved udførelse af store sammensmeltning operationer på grund af størrelsens akkumulering i et int-felt. I GitLab-konfigurationen kan sårbarheden udnyttes til udførelse af kode (problemet er blokeret i GitLab 19.5.4).
• CVE-2026-114466 — overskrivning af vilkårlige filer i filsystemet via kommandoen „git fast-import“ på grund af ufuldstændig adressering af sårbarheden CVE-2019-1348.

Kilde: opennet.ru