Git rekursiv klonlar zamanı zərərli repozitoriyaların kod icra etməsinə imkan verən çatışmazlığı aradan qaldırdı

Git submodullarla rekursiv şəkildə klonlayan bir maşında zərərli repozitoriyanın hücumçu kodunu icra etməsinə imkan verən çatışmazlıq üçün düzəlişlər buraxdı. CVE-2026-111760 kimi izlənilən bu məsələ Git 2.56.1-də, həmçinin 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 və 2.55.1 versiyalarında uyğun düzəlişlərlə həll olundu. Buraxılış həmçinin beş başqa zəifliyi aradan qaldırır.

Əsas çatışmazlıq və necə işləyir

CVE-2026-111760 Git-in indeksini necə idarə etməsində tam ədəd kəsilməsidir. Çox uzun bir yol Git-in təhlükəsizlik yoxlamasından keçə bilər, lakin Git onu diskə hücumçunun .git adını verə biləcəyi daha qısa adla yazır. Bu, hücumçuya submodulun .git faylını zərərli hook-lar və ya konfiqurasiya saxlayan qovluğa işarə edən simvolik linklə əvəz etməyə imkan verə bilər. Hook-lar Git-in müəyyən nöqtələrdə işə saldığı proqramlardır, ona görə də Git həmin qovluqdan istifadə etməyə başlayanda hücumçunun kodu işə salına bilər. Submodullar əhəmiyyətlidir, çünki Git .git qovluğunu simvolik linklə əvəz etməkdən imtina edir, lakin təzə klonlanmış submodulda .git fayldır.

Düzəldilmiş versiyalar belə çox uzun yolları onların uzunluğu qısaldılmadan əvvəl rədd edir.

Düzəldilən digər zəifliklər

Buraxılışlar həmçinin CVE-2026-113408-i düzəldir; burada zərərli server Git protokol v2 üzərindən boş repozitori klonlayanda yol keçidi (path traversal) ilə branch adı göndərə bilər; files reference backend ilə sonrakı yeniləmə Git-in reference qovluğundan kənara yaza bilər. CVE-2026-114467 iki GPG imzasından çox olan tag-ın birləşdirilməsini əhatə edir; bu, stack yaddaşını pozur və xidmətin rədd edilməsinə səbəb ola bilər. CVE-2026-114469 çox böyük ölçüyə qədər genişlənən binary patch-in Git-in təxminən 1 GiB olan patch ölçüsü limitini keçməsinə və Git-in sərhəddən kənar oxuma ilə çökməsinə imkan verir. CVE-2026-105437 çox sayda konflikti olan çox böyük birləşməni və böyük conflict-marker-size atributunu əhatə edir; bu, Git-in ölçüsü kiçik buferin sonundan kənara yazmasına və heap yaddaşını pozmasına səbəb ola bilər. CVE-2026-114466 rewrite-submodules-from, rewrite-submodules-to və export-pack-edges adlı üç git fast-import xüsusiyyətini əhatə edir; onlar ixtiyari faylları oxumaq və ya fayllar yaradıb onlara məlumat əlavə etmək üçün istifadə oluna bilərdi; Git indi --allow-unsafe-features təyin edilməyibsə, onları giriş axınında rədd edir.

GitHub və GitLab qeydləri

GitHub düzəlişləri ətraflı yazıda izah etdi və onları github.com və GitHub Enterprise Cloud-a tətbiq etdi. GitHub Enterprise Server üçün bunlar 3.19.15, 3.20.11, 3.21.9 və 3.22.4 versiyalarındadır. GitHub Desktop və GitHub Copilot tətbiqinin düzəldilmiş versiyaları hazırlanır, GitHub Codespaces və GitHub Actions da düzəldilmiş Git-i alacaq. The Hacker News-un release tag-larını yoxlamasına görə, Git for Windows çərşənbə axşamı 19:09 UTC vaxtına qədər Git 2.56.1 əsasında versiya buraxmamışdı. CVE-2026-105437-ni təyin edən GitLab bildirdi ki, kod hostinq serverlərinin git merge-tree vasitəsilə hədəfə alınma ehtimalı daha yüksəkdir və conflict-marker-size atributu repozitoriyə commit edilmiş .gitattributes faylında təyin edilə bilər.

Zərərin azaldılması üzrə göstərişlər

GitHub əməliyyat sisteminizdən və ya Git distributorundan düzəldilmiş versiya quraşdırmağı və özündə Git-in surətini saxlayan istənilən tətbiqi yeniləməyi tövsiyə edir. Düzəldilmiş versiya quraşdırılana qədər GitHub düzəlişləri əvəz etməyən addımları təklif edir: yalnız etibar etdiyiniz serverlərdən klonlayın; etibar etmədiyiniz repozitoriyaları rekursiv klonlamayın; etibar etmədiyiniz məzmun və ya tag-ları birləşdirməyin; etibar etmədiyiniz mənbələrdən binary patch-ləri və ya fast-import axınlarını emal etməyin. CVE-2026-105437 üçün hələ yeniləyə bilməyən serverlər hər repozitorinin info/attributes faylına conflict-marker-size=7 əlavə edə bilər və ya etibarsız repozitoriyalar üçün həmin birləşmə yoxlamalarını söndürə bilər.

Mənbələr: The Hacker News