Git-ը ուղղում է թերություն, որը թույլ է տալիս վնասակար պահոցներին կոդ կատարել ռեկուրսիվ կլոնավորման ժամանակ

Git-ը թողարկել է ուղղումներ թերության համար, որը կարող է թույլ տալ վնասակար պահոցին կոդ կատարել ենթամոդուլներով ռեկուրսիվ կլոնավորման ժամանակ։ CVE-2026-111760-ը ուղղվել է Git 2.56.1-ում և 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1 տարբերակներում։ Թողարկումը լուծում է նաև հինգ այլ խոցելիություն։

Հիմնական թերությունը և աշխատանքի սկզբունքը

CVE-2026-111760-ը ամբողջ թվի կրճատում է Git-ի ինդեքսի մշակման մեջ։ Չափազանց երկար ուղի կարող է անցնել Git-ի ստուգումը, բայց Git-ը այն գրում է սկավառակին ավելի կարճ անունով, որը հարձակվողը կարող է դարձնել .git։ Այդպես կարող է փոխարինվել ենթամոդուլի .git ֆայլը սիմվոլիկ հղումով դեպի պանակ՝ վնասակար հուկերով կամ կազմաձևով։ Հուկերը Git-ը գործարկում է որոշակի պահերին, ուստի այդ պանակի օգտագործման ժամանակ հարձակվողի կոդը կարող է կատարվել։ Ենթամոդուլները կարևոր են, քանի որ Git-ը հրաժարվում է .git պանակը սիմվոլիկ հղումով փոխարինելուց, բայց նոր կլոնավորված ենթամոդուլում .git-ը ֆայլ է։

Ուղղված տարբերակները մերժում են նման ուղիները, նախքան դրանց երկարությունը կկրճատվի։

Այլ ուղղված խոցելիություններ

Թողարկումները ուղղում են նաև CVE-2026-113408-ը՝ վնասակար սերվերը կարող է ուղարկել ճյուղի անուն ուղու անցմամբ դատարկ պահոցի v2 կլոնավորման ժամանակ. files reference backend-ի դեպքում հետագա թարմացումը կարող է գրել Git-ի հղման պանակից դուրս։ CVE-2026-114467-ը՝ երկուսից ավելի GPG ստորագրություններ ունեցող թեգի միաձուլումը վնասում է ստեկի հիշողությունը և կարող է առաջացնել ծառայության մերժում։ CVE-2026-114469-ը՝ շատ մեծ երկուական պատչը շրջանցում է Git-ի մոտ 1 GiB պատչի սահմանը և սահմաններից դուրս ընթերցմամբ վթարի է ենթարկում Git-ը։ CVE-2026-105437-ը՝ շատ մեծ միաձուլումը՝ բազմաթիվ կոնֆլիկտներով և մեծ conflict-marker-size հատկանիշով, կարող է ստիպել Git-ին գրել թերաչափ բուֆերի վերջից դուրս և վնասել հիշողության կույտը։ CVE-2026-114466-ը՝ git fast-import-ի rewrite-submodules-from, rewrite-submodules-to և export-pack-edges հնարավորությունները կարող էին օգտագործվել կամայական ֆայլեր կարդալու կամ ֆայլեր ստեղծելու և տվյալներ ավելացնելու համար՝ Git-ը այժմ մերժում է դրանք մուտքային հոսքում, եթե --allow-unsafe-features չի սահմանված։

GitHub-ի և GitLab-ի նշումներ

GitHub-ը ուղղումները բացատրել է մանրամասն նյութում և կիրառել github.com-ում ու GitHub Enterprise Cloud-ում։ GitHub Enterprise Server-ում դրանք կան 3.19.15, 3.20.11, 3.21.9 և 3.22.4 տարբերակներում։ Պատրաստվում են GitHub Desktop-ի և GitHub Copilot հավելվածի ուղղված տարբերակները, իսկ GitHub Codespaces-ը և GitHub Actions-ը նույնպես կստանան ուղղված Git։ Git for Windows-ը դեռ չէր թողարկել Git 2.56.1-ի վրա հիմնված տարբերակ երեքշաբթի 19:09 UTC-ի դրությամբ, ըստ The Hacker News-ի թողարկման պիտակների ստուգման։ GitLab-ը, որը նշանակել է CVE-2026-105437-ը, ասել է, որ կոդը հյուրընկալող սերվերները ամենայն հավանականությամբ թիրախավորվում են git merge-tree-ի միջոցով, և conflict-marker-size հատկանիշը կարող է սահմանվել պահոցում կոմիտված .gitattributes ֆայլում։

Մեղմացման ուղեցույց

GitHub-ը խորհուրդ է տալիս տեղադրել ուղղված տարբերակը օպերացիոն համակարգից կամ Git-ի դիստրիբյուտորից և թարմացնել ցանկացած հավելված, որը մատակարարում է Git-ի սեփական օրինակը։ Մինչև ուղղված տարբերակի տեղադրումը GitHub-ը առաջարկում է քայլեր, որոնք չեն փոխարինում ուղղումներին. կլոնավորել միայն վստահելի սերվերներից; մի կլոնավորեք ռեկուրսիվ պահոցներ, որոնց չեք վստահում; մի միաձուլեք բովանդակություն կամ թեգեր, որոնց չեք վստահում; մի մշակեք երկուական պատչեր կամ fast-import հոսքեր չվստահված աղբյուրներից։ CVE-2026-105437-ի համար սերվերները, որոնք դեռ չեն կարող թարմացվել, կարող են ավելացնել conflict-marker-size=7 յուրաքանչյուր պահոցի info/attributes ֆայլում կամ անջատել այդ միաձուլման ստուգումները չվստահված պահոցների համար։

Աղբյուրներ՝ The Hacker News