Vulnerability in Git, allowing code execution when cloning from a malicious Git repository

Ir laisti izlaist koriģējošus izdevumus dalītās avota koda pārvaldības sistēmas Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 un 2.50.2, kuros novērstas 6 ievainojamības. Visbīstamākā ievainojamība (CVE-2026-111760) ļauj izpildīt kodu, izmantojot komandu «git clone» ar opciju «—recurse-submodules» uz uzbrucēja kontrolētiem repozitorijiem.

Problēma rodas tāpēc, ka nosaukuma ieraksta garuma aprēķināšanai indeksā izmanto 32 bitu veselo skaitli. Pārsūtot ļoti garu nosaukumu, piemēram, «.git/…», rodas vesela skaitļa pārplūde, un uzbrucējs var panākt, ka garums tiek aprēķināts kā 4 biti. Tā rezultātā, pārbaudot vērtības, tiek izmantoti faktiskie dati, bet operācijas izpildes laikā tiek izmantota saīsinātā versija «.git», kas ļauj uzbrucējam aizvietot failu «.git» submodulī ar simbolisku saiti, kas norāda uz katalogu ar konfigurācijām un hookiem.

Citas ievainojamības:

• CVE-2026-113408 — pārsniegums no katalogiem refs/ caur simboliskas saites nodošanu ar vērtību «refs/heads/../../../TARGET» kā HEAD zaru, kad klonējat tukšu repozitoriju, izmantojot Git protokolu v2. Nākamajā izpildē «git commit» tiks izveidots fails TARGET repozitorija saknē, ko var izmantot failu pārrakstīšanai repozitorijā un kodu izpildei.
• CVE-2026-114467 — steka pārplūde, dzēšot GPG parakstus, kas potenciāli var novest pie pašizsistējoša koda izpildes. Problēma rodas tāpēc, ka funkcija remove_signature() uzglabā parakstu pozīcijas noteiktā masīvā, kas ir aprēķināts maksimāli uz diviem parakstiem. Pārsūtot tagu ar trim vai vairāk parakstiem, dati tiek saglabāti ārpus masīva.
• CVE-2026-114469 — pārbaudot bināro patchu izmēru ierobežojumus, dati tika ņemti vērā pirms saspiesto datu izsaiņošanas, kas noveda pie satura lasīšanas no bufera robežām ārpus.
• CVE-2026-105437 — atmiņas bojājumi, veicot lielas apvienošanas operācijas, jo rezultāta lielums tiek uzkrāts int tipa laukā. GitLab konfigurācijā šo ievainojamību var izmantot koda izpildei (problēma tiek novērsta GitLab 19.5.4 versijā).
• CVE-2026-114466 — patvaļīgu failu pārrakstīšana failu sistēmā, izmantojot komandu «git fast-import» saistībā ar nepilnīgu ievainojamības CVE-2019-1348 novēršanu.

Avots: opennet.lv