Gå til indholdet
Centoculus
da

Sikkerhedsadvarsel · Høj

Git: ondsindede repositories kan køre kode under rekursive kloninger (CVE-2026-111760)

· 4 minutters læsning · Centoculus Security Team

Kendt siden

Berørt: Git før 2.56.1 (rettet i 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1, 2.56.1)

Hvad skete der

Den 11. november 2026 udgav Git-projektet nye versioner, der retter seks sikkerhedsfejl. Den alvorligste er CVE-2026-111760. Hvis du kloner et ondsindet repository rekursivt, altså sammen med dets submoduler, kan angriberens kode køre på den maskine, der laver klonen.

Årsagen er en heltalsafkortning i den måde, Git håndterer sit indeks på. En meget lang sti passerer Git's sikkerhedstjek, men Git skriver den derefter til disken under et kortere navn. Angriberen kan vælge dette kortere navn. Det gør det muligt at erstatte en submodul-fil .git med et symbolsk link til en mappe, der indeholder ondsindede hooks eller konfiguration. Når Git bruger denne mappe, kører angriberens kode. Rettelsen får Git til at afvise sådanne meget lange stier, før længden kan afkortes.

De samme udgivelser retter fem andre fejl:

  • CVE-2026-113408: Når nogen kloner et tomt repository over Git-protokol v2, kan en ondsindet server sende et branchnavn med path traversal. Med files-referencebackenden kan en senere opdatering af denne branch skrive uden for Git's referencemappe.
  • CVE-2026-114467: Ved sammenlægning af et tag med mere end to GPG-signaturer ødelægges stakhukommelsen, og det kan føre til et denial of service. Hostingtjenester, der kører sådanne sammenlægninger for deres brugere, kan også blive berørt.
  • CVE-2026-114469: En binær patch, der udvides til en meget stor størrelse, kan omgå Git's grænse for patchstørrelse på omkring 1 GiB og få Git til at ggå ned med en læsning uden for grænserne.
  • CVE-2026-105437: En meget stor sammenlægning med mange konflikter og en stor conflict-marker-size-attribut kan få Git til at skrive forbi enden af en heap-buffer. GitLab oplyser, at kodehostingservere er de mest sandsynlige mål, via git merge-tree, som servere bruger til at kontrollere, om en pull- eller merge-anmodning kan sammenlægges.
  • CVE-2026-114466: Tre funktioner i git fast-import (rewrite-submodules-from, rewrite-submodules-to og export-pack-edges) kunne bruges til at læse vilkårlige filer eller oprette filer og tilføje data til dem. Git afviser nu disse i en inputstrøm, medmindre --allow-unsafe-features er sat.

Ingen af kilderne rapporterer angreb indtil nu.

Hvem er berørt

Berørt er alle systemer, der kører en Git-version ældre end disse rettede udgivelser: 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 og 2.50.2. På servere er disse forhold særligt vigtige:

  • Build-, CI- og deployment-servere, der kloner repositories rekursivt (git clone --recursive, --recurse-submodules eller git submodule update --init), især repositories eller submoduler fra tredjepart. For at CVE-2026-111760 virker, skal det klonede repository være ondsindet. Hvis du kun kloner dine egne betroede repositories, er risikoen meget lavere, men du bør stadig opdatere.
  • Selvhostede Git-hostingservere, der kører sammenlægninger eller merge-kontroller på indhold, som brugerne har pushet (CVE-2026-105437, CVE-2026-114467).
  • GitHub Enterprise Server: rettelserne findes i versionerne 3.19.15, 3.20.11, 3.21.9 og 3.22.4.
  • Applikationer, der leverer deres egen kopi af Git. De skal opdateres af deres leverandør.

Ikke berørt er github.com og GitHub Enterprise Cloud. GitHub har allerede anvendt rettelserne der. Webservere, hvor Git er installeret, men som aldrig kloner eller sammenlægger indhold udefra, er i praksis ikke udsat for klon-fejlen. Opdater dem alligevel under din næste vedligeholdelse.

Git for Windows havde den 10. november 2026 kl. 19:09 UTC ikke udgivet en version baseret på Git 2.56.1. Windows-administratorer bør holde øje med den udgivelse.

Hvad du skal gøre nu

  1. Tjek den installerede version på hver server med git --version.
  2. Installer en rettet version via din operativsystems pakkehåndtering (for eksempel apt update && apt install --only-upgrade git eller dnf upgrade git). Distributioner bagporterer typisk rettelser til deres egne pakkeversioner, så tjek din distributions sikkerhedsadvarsel for at finde den rettede pakke. Hvis du bygger Git selv, skal du opgradere til 2.56.1 eller til den rettede udgivelse i din serie.
  3. Opdater GitHub Enterprise Server til 3.19.15, 3.20.11, 3.21.9 eller 3.22.4, afhængigt af din udgivelseslinje. Opdater andre applikationer, der leverer deres egen kopi af Git, når deres leverandør udgiver en rettelse.
  4. Indtil alle systemer er opdateret, følg GitHubs midlertidige anbefalinger. Disse trin erstatter ikke opdateringen:
    • Klon kun fra servere, du har tillid til.
    • Klon ikke repositories, du ikke har tillid til, rekursivt.
    • Sammenlæg ikke indhold eller tags, du ikke har tillid til.
    • Behandl ikke binære patches eller fast-import-strømme fra kilder, du ikke har tillid til.
  5. På Git-hostingservere, der endnu ikke kan opdateres, beskyt mod CVE-2026-105437. Tilføj conflict-marker-size=7 til hvert repositorys info/attributes-fil, eller slå merge-kontroller fra for repositories, du ikke har tillid til.
  6. Genstart langtkørende tjenester, der kalder Git, såsom CI-runnere eller Git-hostingdæmoner, så de bruger den nye binær.

Sådan tjekker du, om du er berørt

  • Kør git --version. Versioner ældre end den rettede udgivelse i deres serie er berørt: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1 eller 2.56.1. For distributionspakker skal du sammenligne pakkeversionen med din distributions advarsel i stedet for det upstream versionsnummer.
  • Søg i dine build- og deployment-scripts og CI-konfigurationer efter --recursive, --recurse-submodules og submodule update. Tjek, hvilke af de klonede repositories der kommer fra tredjepart.
  • Led efter Git-kopier uden for pakkehåndteringen, for eksempel med which -a git. Tjek også den Git, der følger med CI-runnere, containere og andre applikationer.

Kilder

Relaterede indlæg