Ein Sicherheitsproblem in Git, das die Ausführung von Code beim Klonen aus einem bösartigen Git-Repository zulässt.

Es wurden Korrekturversionen des verteilten Versionskontrollsystems Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 und 2.50.2 veröffentlicht, in denen 6 Sicherheitsanfälligkeiten behoben wurden. Die gefährlichste Sicherheitsanfälligkeit (CVE-2026-111760) ermöglicht die Ausführung von Code, wenn der Befehl „git clone“ im „—recurse-submodules“-Modus mit von einem Angreifer kontrollierten Repositories angewendet wird.

Das Problem entsteht, weil die Länge des Namens im Index mit einem 32-Bit-Ganzzahltyp berechnet wird. Bei der Übertragung eines sehr langen Namens wie „.git/…“ tritt ein ganzzahliges Überlauf auf, und der Angreifer kann eine Länge von 4 Bytes berechnen. Dadurch werden bei der Überprüfung des Wertes tatsächlich erhaltene Daten verwendet, während bei der Durchführung der Operation die abgeschnittene Version „.git“ verwendet wird, was es dem Angreifer ermöglicht, die Datei „.git“ im Submodul durch einen symbolischen Link zu ersetzen, der auf ein Verzeichnis mit Konfigurationen und Hooks zeigt.

Weitere Sicherheitsanfälligkeiten:

• CVE-2026-113408 — Verzeichnisüberlauf über die Übergabe eines symbolischen Links mit dem Wert „refs/heads/../../..TARGET“ als Branch HEAD beim Klonen eines leeren Repositories über das Git-Protokoll v2. Bei der anschließenden Ausführung von „git commit“ wird eine Datei TARGET im Stammverzeichnis des Repositories erstellt, die verwendet werden kann, um Dateien im Repository zu überschreiben und die Ausführung von Code zu organisieren.
• CVE-2026-114467 — Stacküberlauf beim Entfernen von GPG-Signaturen, was potenziell zur Ausführung von beliebigem Code führen kann. Das Problem entsteht, weil die Funktion remove_signature() die Positionen der Signaturen in einem festen Array speichert, das maximal für zwei Signaturen ausgelegt ist. Bei der Übergabe eines Tags mit drei oder mehr Signaturen werden die Daten außerhalb des Arrays gespeichert.
• CVE-2026-114469 — Bei der Überprüfung der Größenbeschränkungen für binäre Patches wurden die Daten vor dem Entpacken komprimierter Daten berücksichtigt, was dazu führte, dass Inhalte außerhalb der Grenzen des Puffers gelesen wurden.
• CVE-2026-105437 — Speicherbeschädigung bei der Ausführung großer Zusammenführungsoperationen aufgrund der Anhäufung der Ergebnisgröße in einem Int-Feld. In der GitLab-Konfiguration kann die Sicherheitsanfälligkeit ausgenutzt werden, um Code auszuführen (Problem in GitLab 19.5.4 blockiert).
• CVE-2026-114466 — Überschreibung beliebiger Dateien im FS über den Befehl „git fast-import“ aufgrund unzureichender Behebung der Sicherheitsanfälligkeit CVE-2019-1348.

Quelle: opennet.ru