Vulnerabilidade no Git que permite a execução de código ao clonar de um repositório Git malicioso.

Foram lançadas atualizações corretivas do sistema de controle de versão distribuído Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 e 2.50.2, nas quais foram corrigidas 6 vulnerabilidades. A vulnerabilidade mais perigosa (CVE-2026-111760) permite a execução de código ao usar o comando "git clone" no modo "--recurse-submodules" com repositórios controlados pelo atacante.

O problema é causado pelo fato de que o comprimento da entrada com nome no índice é calculado usando um tipo inteiro de 32 bits. Ao passar um nome muito longo como ".git/…." ocorre um estouro inteiro, permitindo que o atacante calcule um comprimento igual a 4 bytes. Como resultado, ao verificar o valor, são usados os dados reais, enquanto ao executar a operação é utilizada a versão truncada de ".git", o que permite que o atacante substitua o arquivo ".git" no submódulo por um link simbólico apontando para um diretório de configurações e ganchos.

Outras vulnerabilidades:

• CVE-2026-113408 — saída do diretório refs/ através da passagem de um link simbólico com o valor "refs/heads/../../..TARGET" como branch HEAD ao clonar um repositório vazio pelo protocolo Git v2. Ao executar posteriormente o "git commit", será criado um arquivo TARGET na raiz do repositório, o que pode ser usado para sobrescrever arquivos no repositório e facilitar a execução de código.
• CVE-2026-114467 — estouro de pilha ao remover assinaturas GPG, que pode potencialmente levar à execução de código arbitrário. O problema é causado pelo fato de que a função remove_signature() armazena as posições das assinaturas em um array fixo, projetado para no máximo duas assinaturas. Ao passar uma tag com três ou mais assinaturas, os dados são salvos fora do array.
• CVE-2026-114469 — ao verificar as restrições de tamanho de patches binários, eram considerados dados antes da descompactação, resultando na leitura de conteúdo fora dos limites do buffer.
• CVE-2026-105437 — corrupção de memória ao realizar grandes operações de mesclagem devido ao acúmulo do tamanho do resultado em um campo do tipo int. Na configuração do GitLab, a vulnerabilidade pode ser explorada para execução de código (a questão foi corrigida no GitLab 19.5.4).
• CVE-2026-114466 — sobrescrita de arquivos arbitrários no sistema de arquivos através do comando "git fast-import" devido à remoção incompleta da vulnerabilidade CVE-2019-1348.

Fonte: opennet.ru