En sårbarhet i Git som tillater kodekjøring ved kloning fra et ondsinnet Git-repositorium

Korrigeringer er tilgjengelige for Git-versjonene 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 og 2.50.2, som retter opp 6 sårbarheter. Den mest kritiske sårbarheten (CVE-2026-111760) gjør det mulig å kjøre kode ved bruk av kommandoen «git clone» i «—recurse-submodules»-modus med repoer kontrollert av angriperen.

Problemet skyldes at lengden på navnet i indeksen beregnes ved hjelp av en 32-bits heltallsverdi. Ved å sende et veldig langt navn som «.git/….» oppstår det et heltallsoverskudd, som lar angriperen få frem lengde lik 4 byte. Som følge av dette brukes de faktiske dataene ved verifiseringen, mens den avkortede versjonen «.git» benyttes ved utførelsen, noe som gjør det mulig for angriperen å erstatte filen «.git» i submodulen med en symbolsk lenke som peker til en katalog med innstillinger og hooks.

Andre sårbarheter:

• CVE-2026-113408 — kataloggrenseoverskridelse via å sende en symbolsk lenke som peker til «refs/heads/../../..../TARGET» som branch HEAD når et tomt repo blir klonet via Git v2. Ved senere kjøring av «git commit» vil en TARGET-fil bli opprettet i rotmappen til repoet, noe som kan brukes til å overskrive filer i repoet og få kode til å kjøre.
• CVE-2026-114467 — stakkoverløp ved sletting av GPG-signaturer, noe som potensielt kan føre til kjøring av vilkårlig kode. Problemet oppstår fordi funksjonen remove_signature() lagrer posisjonene til signaturene i et fast array maks. for to signaturer. Ved å sende et tag med tre eller flere signaturer, blir data lagret utenfor arrayet.
• CVE-2026-114469 — ved vurdering av grensebetingelser for binære patcher ble data før dekomprimering tatt med i beregningene, noe som førte til at innhold ble lest utenfor buffergrensene.
• CVE-2026-105437 — minneskade når store fletteoperasjoner utføres på grunn av akkumulert resultatstørrelse i feltet med int-type. I GitLab-konfigurasjonen kan sårbarheten utnyttes til å kjøre kode (problemet er blokkert i GitLab 19.5.4).
• CVE-2026-114466 — overskriving av vilkårlige filer i FS via kommandoen «git fast-import» på grunn av utilstrekkelig fikset sårbarhet CVE-2019-1348.

Kilde: opennet.ru