Git'i nõrkus, mis võimaldab pahatahtlikust Git-repositooriumist kloonimise ajal koodi täitmist

Ilmuni on korrektsioone tehtud Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 ja 2.50.2 jagatud koodihaldussüsteemi, milles on kõrvaldatud 6 haavatavust. Kõige ohtlikum haavatavus (CVE-2026-111760) võimaldab koodi täitmist, kui kasutada käsku „git clone” alameetodite režiimis „—recurse-submodules” rünnakule allutatud hoidlatest.

Probleem tuleneb sellest, et indeksi nimepikaused arvestatakse 32-bitise täisarvuga. Kui edastada väga pikk nimi, näiteks „.git/…” esineb täisarvuline ületäitumine ja ründajal on võimalik saavutada väärtus, mis on võrdne 4 baitiga. Seetõttu kontrollitakse väärtuste jaoks tegelikke andmeid, samas kui tehingu ajal kasutatakse lühendatud versiooni „.git”, mis võimaldab ründajal asendada faili „.git” alameetodis sümboolse lingiga, mis osutab seadete ja nukkide kataloogile.

Teised haavatavused:

• CVE-2026-113408 — viitab refs/ kataloogist väljapoole, edastades sümboolse lingi väärtusega „refs/heads/../../..../TARGET” haruna HEAD tühja hoidla kloonimise ajal Git v2 protokolli kaudu. Edasi liikudes, kui täidetakse „git commit”, luuakse juurkaustas fail TARGET, mida saab kasutada hoidla failide üle kirjutamiseks ning koodi täitmiseks.
• CVE-2026-114467 — virnakatkestus GPG-allkirjade eemaldamisel, mis võib potentsiaalselt viia suvalise koodi täitmiseni. Probleem tuleneb sellest, et funktsioon remove_signature() salvestab allkirjade positsioonid fikseeritud massiivi, mis on maksimaalselt mõeldud kahe allkirja jaoks. Kui edastatakse silt, kus on kolm või enam allkirja, salvestatakse andmed massiivist väljas.
• CVE-2026-114469 — binaarsete plaastrite suuruse piirangute kontrollimisel arvestati andmeid enne kompressitud andmete lahtipakkimist, mis viis andmete lugemise bufferi piiride välisest alast.
• CVE-2026-105437 — mälu kahjustamine suurte liitmisoperatsioonide täitmisel, mis tuleneb tulemuse suuruse akumuleerumisest int-tüüpi väljal. GitLabi konfiguratsioonis saab haavatavust ära kasutada koodi täitmiseks (probleem on blokeeritud GitLab 19.5.4 versioonis).
• CVE-2026-114466 — suvaliste failide üle kirjutamine failisüsteemis käsu „git fast-import” kaudu, mis tuleneb haavatavuse CVE-2019-1348 mittetäielikust kõrvaldamisest.

Allikas: opennet.ru