Git-მა გამოასწორა ხარვეზი, რომელიც მავნე რეპოზიტორიებს რეკურსიული კლონირებისას კოდის გაშვების საშუალებას აძლევს

Git-მა გამოსწორა ხარვეზი, რომლითაც მავნე რეპოზიტორიას სუბმოდულებით რეკურსიული კლონირებისას თავდამსხმელის კოდის გაშვება შეუძლია. CVE-2026-111760 გამოსწორდა Git 2.56.1-ში და 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1-ში. გამოშვება კიდევ ხუთ დაუცველობას ფარავს.

მთავარი ხარვეზი და მისი მუშაობა

CVE-2026-111760 მთელი რიცხვის შეკვეცაა Git-ის ინდექსში. უკიდურესად გრძელი ბილიკი გადის შემოწმებას, მაგრამ დისკზე მოკლე სახელით იწერება, რომელსაც თავდამსხმელი .git-ად აქცევს. ასე სუბმოდულის .git ფაილი იცვლება სიმბოლური ბმულით მავნე ჰუკების ან კონფიგურაციის საქაღალდეზე. ჰუკები Git-ის მიერ განსაზღვრულ მომენტებში გაშვებული პროგრამებია, ამიტომ საქაღალდის გამოყენებისას თავდამსხმელის კოდი შეიძლება გაეშვას. Git .git საქაღალდის სიმბოლური ბმულით ჩანაცვლებას არ უშვებს, მაგრამ ახლად დაკლონილ სუბმოდულში .git ფაილია.

გამოსწორებული ვერსიები ასეთ ბილიკებს სიგრძის შეკვეცამდე უარყოფენ.

სხვა გამოსწორებული დაუცველობები

გამოსწორდა CVE-2026-113408: მავნე სერვერი path traversal-ით ბრენჩის სახელს აგზავნის ცარიელი რეპოზიტორიის Git protocol v2-ით კლონირებისას; files reference backend-ით განახლება Git-ის reference საქაღალდის გარეთ წერს. CVE-2026-114467: ტეგის შერწყმა ორზე მეტი GPG ხელმოწერით stack-ის მეხსიერებას აფუჭებს და სერვისზე უარს იწვევს. CVE-2026-114469: დიდ ზომამდე გაშლილი ბინარული პატჩი გვერდს უვლის Git-ის ლიმიტს დაახლოებით 1 GiB-ს და ჩამოაგდებს Git-ს საზღვრის გარეთ კითხვით. CVE-2026-105437: ძალიან დიდი merge ბევრი კონფლიქტით და დიდი conflict-marker-size ატრიბუტით იწვევს მცირე ბუფერის დასასრულს მიღმა ჩაწერას და heap-ის მეხსიერების დაზიანებას. CVE-2026-114466: git fast-import-ის ფუნქციები rewrite-submodules-from, rewrite-submodules-to და export-pack-edges შეიძლება გამოყენდეს თვითნებური ფაილების წასაკითხად ან შესაქმნელად და მათში მონაცემების დასამატებლად; ახლა Git მათ შემომავალ ნაკადში უარყოფს, თუ --allow-unsafe-features არ არის ჩართული.

GitHub-ისა და GitLab-ის შენიშვნები

GitHub-მა გამოსწორებები დეტალურად ახსნა და გამოიყენა github.com-ზე და GitHub Enterprise Cloud-ზე. GitHub Enterprise Server-ისთვის ეს გამოსწორებები 3.19.15, 3.20.11, 3.21.9 და 3.22.4 ვერსიებშია. მზადდება GitHub Desktop-ისა და GitHub Copilot-ის გამოსწორებული ვერსიები; GitHub Codespaces და GitHub Actions ასევე მიიღებენ გამოსწორებულ Git-ს. Git for Windows-ს სამშაბათის 19:09 UTC-ის მდგომარეობით ჯერ არ გამოუშვია Git 2.56.1-ზე დაფუძნებული ვერსია, The Hacker News-ის მიერ გამოშვების ტეგების შემოწმების მიხედვით. GitLab-მა, რომელმაც CVE-2026-105437 მიანიჭა, თქვა, რომ თავდამსხმელები ყველაზე სავარაუდოდ კოდის ჰოსტინგის სერვერებს git merge-tree-ის მეშვეობით დაესხმებიან და conflict-marker-size-ის დაყენება შესაძლებელია რეპოზიტორიაში დაკომიტებულ .gitattributes ფაილში.

რისკის შემცირების რჩევები

GitHub-ის რეკომენდაციაა გამოსწორებული ვერსიის დაყენება ოპერაციული სისტემიდან ან Git-ის დისტრიბუტორისგან და ნებისმიერი აპლიკაციის განახლება, რომელსაც Git-ის საკუთარი ასლი მოჰყვება. სანამ გამოსწორებული ვერსია დაყენდება, GitHub-ი გვთავაზობს ნაბიჯებს, რომლებიც გამოსწორებებს არ ანაცვლებს: დაიკლონეთ მხოლოდ სანდო სერვერებიდან; არ დაკლონოთ რეკურსიულად რეპოზიტორიები, რომლებსაც არ ენდობით; არ შეაერთოთ იმ კონტენტი ან ტეგები, რომლებსაც არ ენდობით; და არ დაამუშაოთ ბინარული პატჩები ან fast-import ნაკადები წყაროებიდან, რომლებსაც არ ენდობით. CVE-2026-105437-ისთვის სერვერებს, რომლებსაც ჯერ არ შეუძლიათ განახლება, შეუძლიათ conflict-marker-size=7 დაამატონ თითოეული რეპოზიტორიის info/attributes ფაილში ან გამორთონ ეს merge-შემოწმებები არასანდო რეპოზიტორიებისთვის.

წყაროები: The Hacker News