Git виправляє вразливість, що дає змогу шкідливим репозиторіям виконувати код під час рекурсивного клонування

Git випустив виправлення для вразливості, що може дозволити шкідливому репозиторію виконати код зловмисника на машині, яка клонує його рекурсивно з підмодулями. Проблему CVE-2026-111760 виправлено у Git 2.56.1, а відповідні виправлення є у версіях 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 і 2.55.1. Випуск також усуває ще п'ять вразливостей.

Головна вразливість і як вона працює

CVE-2026-111760 є усіченням цілого числа в тому, як Git обробляє свій індекс. Надзвичайно довгий шлях може пройти перевірку безпеки Git, але Git записує його на диск під коротшим ім'ям, яке зловмисник може встановити як .git. Це може дозволити зловмиснику замінити файл .git підмодуля символічним посиланням на теку, що містить шкідливі хуки або конфігурацію. Хуки є програмами, які Git запускає у визначені моменти, тому після початку використання цієї теки код зловмисника може виконатися. Підмодулі важливі: Git не замінює теку .git символічним посиланням, але у щойно клонованому підмодулі .git є файлом.

Виправлені версії відхиляють такі надзвичайно довгі шляхи до скорочення їхньої довжини.

Інші виправлені вразливості

Випуски також виправляють CVE-2026-113408: шкідливий сервер може надіслати ім'я гілки з обходом шляху під час клонування порожнього репозиторію через протокол Git v2; з бекендом файлових посилань пізніше оновлення може записати дані поза текою посилань Git. CVE-2026-114467: злиття тега з понад двома підписами GPG пошкоджує пам'ять стека і може спричинити відмову в обслуговуванні. CVE-2026-114469: двійковий патч, що розгортається до дуже великого розміру, обходить обмеження патча Git приблизно 1 GiB і спричиняє збій Git через читання поза межами. CVE-2026-105437: дуже велике злиття з багатьма конфліктами і великим атрибутом conflict-marker-size може змусити Git записати дані за межі надто малого буфера і пошкодити динамічну пам'ять. CVE-2026-114466: три можливості git fast-import (rewrite-submodules-from, rewrite-submodules-to, export-pack-edges) можна було використати для читання довільних файлів або створення файлів і додавання даних; Git тепер відхиляє їх у вхідному потоці, якщо не встановлено --allow-unsafe-features.

Примітки GitHub і GitLab

GitHub пояснив виправлення у детальному розборі та застосував їх до github.com і GitHub Enterprise Cloud. Для GitHub Enterprise Server вони є у версіях 3.19.15, 3.20.11, 3.21.9 і 3.22.4. Готуються виправлені версії GitHub Desktop і застосунку GitHub Copilot; GitHub Codespaces і GitHub Actions також отримають виправлений Git. Git for Windows не випустив версію на основі Git 2.56.1 станом на вівторок о 19:09 UTC за перевіркою міток випусків, яку провів The Hacker News. GitLab, який призначив CVE-2026-105437, повідомив, що сервери розміщення коду найімовірніше атакуватимуть через git merge-tree, а атрибут conflict-marker-size можна встановити у файлі .gitattributes, зафіксованому у репозиторії.

Рекомендації щодо зниження ризику

GitHub радить встановити виправлену версію з ОС або дистриб'ютора Git і оновити застосунки з власною копією Git. Доки виправлена версія не встановлена, GitHub пропонує кроки, що не замінюють виправлення: клонуйте лише з довірених серверів; не клонуйте рекурсивно недовірені репозиторії; не зливайте недовірений вміст або теги; не обробляйте двійкові патчі чи потоки fast-import із недовірених джерел. Для CVE-2026-105437 сервери без оновлення можуть додати conflict-marker-size=7 до файлу info/attributes кожного репозиторію або вимкнути ці перевірки злиття для ненадійних репозиторіїв.

Джерела: The Hacker News