Vulnérabilité dans Git permettant l'exécution de code lors du clonage depuis un dépôt Git malveillant.

Des mises à jour correctives ont été publiées pour le système de gestion de code source distribué Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 et 2.50.2, corrigeant 6 vulnérabilités. La vulnérabilité la plus critique (CVE-2026-111760) permet l'exécution de code lors de l'utilisation de la commande « git clone » en mode « —recurse-submodules » avec des dépôts contrôlés par un attaquant.

Le problème est dû au fait que la longueur d'une entrée avec un nom dans l'index est calculée à l'aide d'un entier 32 bits. Lors de la transmission d'un nom très long tel que « .git/… », un dépassement d'entier se produit et un attaquant peut obtenir une longueur de 4 octets. En conséquence, lors de la vérification des valeurs, des données réelles sont utilisées, tandis que l'opération utilise une version tronquée de « .git », permettant à l'attaquant de remplacer le fichier « .git » dans le sous-module par un lien symbolique pointant vers un répertoire contenant des configurations et des hooks.

Autres vulnérabilités :

• CVE-2026-113408 — dépassement de répertoire refs/ par la transmission d'un lien symbolique avec la valeur « refs/heads/../../..../TARGET » en tant que branche HEAD lors du clonage d'un dépôt vide via le protocole Git v2. Lors de l'exécution ultérieure de « git commit », un fichier TARGET sera créé à la racine du dépôt, ce qui peut être utilisé pour écraser des fichiers dans le dépôt et organiser l'exécution de code.
• CVE-2026-114467 — dépassement de pile lors de la suppression de signatures GPG, ce qui peut potentiellement entraîner l'exécution de code arbitraire. Le problème est causé par le fait que la fonction remove_signature() stocke les positions des signatures dans un tableau fixe, prévu au maximum pour deux signatures. Lors de la transmission d'une balise avec trois signatures ou plus, les données sont stockées en dehors du tableau.
• CVE-2026-114469 — lors de la vérification des limites de taille des correctifs binaires, les données étaient prises en compte avant le décompactage des données compressées, ce qui entraînait la lecture du contenu en dehors des limites du tampon.
• CVE-2026-105437 — corruption de mémoire lors de l'exécution de grandes opérations de fusion en raison de l'accumulation de la taille du résultat dans un champ de type int. Dans la configuration GitLab, la vulnérabilité peut être exploitée pour exécuter du code (le problème est bloqué dans GitLab 19.5.4).
• CVE-2026-114466 — écriture de fichiers arbitraires dans le système de fichiers via la commande « git fast-import » en raison de l'élimination incomplète de la vulnérabilité CVE-2019-1348.

Source : opennet.ru