Kwetsbaarheid in Git, waardoor code kan worden uitgevoerd bij het clonen van een kwaadaardig Git-repository

Er zijn correctie-uitgaves gepubliceerd voor het gedistribueerde versiebeheersysteem Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 en 2.50.2, waarin 6 kwetsbaarheden zijn verholpen. De meest ernstige kwetsbaarheid (CVE-2026-111760) maakt het mogelijk om code uit te voeren bij het gebruik van de opdracht 'git clone' in de modus '--recurse-submodules' met repositories die door de aanvaller worden gecontroleerd.

Het probleem wordt veroorzaakt doordat de lengte van een naamrecord in de index wordt berekend met een 32-bits geheel getal. Bij het doorgeven van een zeer lange naam zoals '.git/....' treedt er een integer overflow op en kan de aanvaller een lengte van 4 bytes berekenen. Hierdoor worden bij het controleren van de waarde de werkelijke gegevens gebruikt, terwijl de afgeknotte versie '.git' wordt uitgevoerd, wat de aanvaller in staat stelt het bestand '.git' in de submodule te vervangen door een symbolische link die naar een map met configuraties en hooks verwijst.

Andere kwetsbaarheden:

• CVE-2026-113408 — een directory traversal via het doorgeven van een symbolische link met de waarde 'refs/heads/../../..../TARGET' als branch HEAD tijdens het klonen van een lege repository met het Git v2-protocol. Bij een daaropvolgende 'git commit' wordt er een bestand TARGET in de root van de repository aangemaakt, wat kan worden gebruikt om bestanden in de repository te overschrijven en code uit te voeren.
• CVE-2026-114467 — een stack overflow bij het verwijderen van GPG-handtekeningen, wat potentieel kan leiden tot de uitvoering van willekeurige code. Het probleem wordt veroorzaakt doordat de functie remove_signature() de posities van handtekeningen opslaat in een vaste array die maximaal voor twee handtekeningen is berekend. Bij het doorgeven van een tag met drie of meer handtekeningen worden de gegevens buiten de array opgeslagen.
• CVE-2026-114469 — bij het controleren van restricties op de grootte van binaire patches werden gegevens vóór het uitpakken van de gecomprimeerde gegevens in aanmerking genomen, waardoor inhoud wordt gelezen uit een gebied buiten de grenzen van de buffer.
• CVE-2026-105437 — geheugenbeschadiging bij het uitvoeren van grote merge-operaties door de accumulatie van de resultaten in een veld met het type int. In de GitLab-configuratie kan de kwetsbaarheid worden misbruikt om code uit te voeren (probleem opgelost in GitLab 19.5.4).
• CVE-2026-114466 — het overschrijven van willekeurige bestanden in het bestandssysteem via de opdracht 'git fast-import' door onvolledige verwijdering van de kwetsbaarheid CVE-2019-1348.

Bron: opennet.ru