Git, Özyinelemeli Klonlarda Kötü Amaçlı Depoların Kod Çalıştırmasını Sağlayan Açığı Yamadı

Git, alt modüllerle özyinelemeli klon yapan makinede kötü amaçlı bir deponun saldırgan kod çalıştırmasına izin verebilen bir açığı yamadı. CVE-2026-111760 olarak izlenen sorun Git 2.56.1'de giderildi; 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 ve 2.55.1 sürümlerinde de aynı düzeltmeler yer alıyor. Bu sürüm beş başka güvenlik açığını da ele alıyor.

Temel açık ve nasıl çalıştığı

CVE-2026-111760, Git'in indeks işlemesindeki bir tamsayı kesilmesi açığıdır. Aşırı uzun bir yol Git'in güvenlik denetiminden geçebilir; ancak Git onu, saldırganın .git olarak ayarlayabileceği daha kısa bir adla diske yazar. Bu, saldırganın bir alt modülün .git dosyasını kötü amaçlı kanca veya yapılandırma içeren klasöre işaret eden sembolik bir bağlantı ile değiştirmesine izin verebilir. Kancalar, Git'in belirli noktalarda çalıştırdığı programlardır; dolayısıyla Git o klasörü kullandığında saldırgan kodu çalışabilir. Alt modüller önemlidir çünkü Git bir .git klasörünü sembolik bağlantı ile değiştirmeyi reddeder; ancak yeni klonlanmış bir alt modülde .git bir dosyadır.

Düzeltilmiş sürümler, uzunlukları kısaltılmadan önce bu tür aşırı uzun yolları reddeder.

Diğer düzeltilen güvenlik açıkları

Bu sürümler ayrıca CVE-2026-113408'i de düzeltiyor; bu açıkta kötü amaçlı bir sunucu, birisi boş bir depoyu Git protokolü v2 üzerinden klonlarken yol geçişi içeren bir dal adı gönderebiliyor; files referans arka ucu kullanıldığında sonraki bir güncelleme Git'in referans klasörünün dışına yazabiliyor. CVE-2026-114467, ikiden fazla GPG imzası içeren bir etiketin birleştirilmesiyle ilgilidir; bu, stack belleğini bozar ve hizmet reddine yol açabilir. CVE-2026-114469, çok büyük bir boyuta genişleyen ikili bir yamanın Git'in yaklaşık 1 GiB'lik yama boyutu sınırını aşmasını ve Git'in sınırlar ötesi okuma ile çökmesini mümkün kılıyor. CVE-2026-105437, çok sayıda çatışma içeren çok büyük bir birleştirme ve büyük bir conflict-marker-size özniteliğiyle ilgilidir; bu durum Git'in yetersiz boyutlu bir tamponun sonunu aşarak yazmasına ve heap belleğini bozmasına yol açabilir. CVE-2026-114466, rewrite-submodules-from, rewrite-submodules-to ve export-pack-edges olmak üzere üç git fast-import özelliğini içerir; bu özellikler keyfi dosyaları okumak ya da dosya oluşturup içlerine veri eklemek için kullanılabiliyordu; Git artık --allow-unsafe-features ayarı yapılmadıkça bunları bir girdi akışında reddediyor.

GitHub ve GitLab notları

GitHub, düzeltmeleri ayrıntılı bir yazıyla açıkladı ve bunları github.com ile GitHub Enterprise Cloud'a uyguladı. GitHub Enterprise Server için bu düzeltmeler 3.19.15, 3.20.11, 3.21.9 ve 3.22.4 sürümlerinde yer alıyor. GitHub Desktop ve GitHub Copilot uygulamasının düzeltilmiş sürümleri hazırlanıyor; GitHub Codespaces ve GitHub Actions da düzeltilmiş Git'i alacak. The Hacker News'un sürüm etiketlerini kontrol etmesine göre Git for Windows, Salı günü 19:09 UTC itibarıyla Git 2.56.1 temelli bir sürüm yayımlamamıştı. CVE-2026-105437'yi atayan GitLab, kod barındırma sunucularının büyük olasılıkla git merge-tree üzerinden hedef alınacağını ve conflict-marker-size özniteliğinin bir depoya işlenen .gitattributes dosyasında ayarlanabileceğini söyledi.

Azaltma yönergeleri

GitHub, işletim sisteminizden veya Git dağıtıcınızdan düzeltilmiş bir sürüm kurmanızı ve kendi Git kopyasını içeren her uygulamayı güncellemenizi öneriyor. Düzeltilmiş bir sürüm kurulana kadar GitHub, düzeltmelerin yerini almayan şu adımları öneriyor: yalnızca güvendiğiniz sunuculardan klonlayın; güvenmediğiniz depoları özyinelemeli olarak klonlamayın; güvenmediğiniz içerik veya etiketleri birleştirmeyin; ve güvenilmeyen ikili yamaları veya fast-import akışlarını işlemeyin. CVE-2026-105437 için henüz yükseltme yapamayan sunucular, her deponun info/attributes dosyasına conflict-marker-size=7 ekleyebilir veya güvenilmeyen depolar için bu birleştirme denetimlerini kapatabilir.

Kaynaklar: The Hacker News