Vulnerability in Git allowing code execution when cloning from a malicious Git repository

Objavljeni su korektivni izdanja distribuiranog sistema upravljanja izvorni kod Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 i 2.50.2, u kojima je ispravljeno 6 ranjivosti. Najopasnija ranjivost (CVE-2026-111760) omogućava izvršavanje koda prilikom korišćenja komande „git clone“ u režimu „—recurse-submodules“ sa repozitorijumima pod kontrolom napadača.

Problem je uzrokovan time što se dužina zapisa sa imenom u indeksu izračunava korišćenjem 32-bitnog celobrojnog tipa. Prilikom prenosa veoma dugog imena poput „.git/....“ javlja se celobrojno prelivanje i napadač može izazvati izračunavanje dužine od 4 bajta. Kao rezultat, prilikom provere vrednosti koriste se stvarni podaci, dok se tokom izvršavanja operacije koristi skraćena verzija „.git“, što omogućava napadaču da zameni datoteku „.git“ u submodulu simboličkom vezom koja upućuje na direktorijum sa postavkama iHOOK-ovima.

Ostale ranjivosti:

• CVE-2026-113408 — prelivanje izvan granica direktorijuma refs/ putem prenosa simboličke veze kao grane HEAD sa vrednošću „refs/heads/../../../TARGET“ prilikom kloniranja praznog repozitorijuma putem Git protokola v2. Prilikom kasnijeg izvršavanja „git commit“ će biti kreirana datoteka TARGET u korenu repozitorijuma, što se može koristiti za prepisivanje datoteka u repozitorijumu i organizaciju izvršavanja koda.
• CVE-2026-114467 — prelivanje steka prilikom brisanja GPG potpisa, što potencijalno može dovesti do izvršavanja proizvoljnog koda. Problem je uzrokovan time što funkcija remove_signature() čuva pozicije potpisa u fiksnom nizu, koji je kalkulisan za maksimalno dva potpisa. Prilikom prenosa oznake sa tri ili više potpisa, podaci se čuvaju van niza.
• CVE-2026-114469 — prilikom provere ograničenja na veličinu binarnih zakrpa uzeta su u obzir podaci pre raspakovanja kompresovanih podataka, što je dovelo do čitanja sadržaja izvan granica bafera.
• CVE-2026-105437 — oštećenje memorije prilikom izvršavanja velikih operacija spajanja zbog akumulacije veličine rezultata u okviru celobrojnog tipa. U GitLab konfiguraciji, ranjivost se može iskoristiti za izvršavanje koda (problem je ispravljen u GitLab 19.5.4).
• CVE-2026-114466 — prepisivanje proizvoljnih datoteka u FС preko komande „git fast-import“ zbog nepotpunog uklanjanja ranjivosti CVE-2019-1348.

Izvor: opennet.ru