Git: kwaadaardige repositories kunnen code uitvoeren tijdens recursieve clones (CVE-2026-111760)

Wat er is gebeurd

Op 11 november 2026 heeft het Git-project nieuwe versies uitgebracht die zes beveiligingskwetsbaarheden verhelpen. De ernstigste is CVE-2026-111760. Het recursief klonen van een kwaadaardige repository, dat wil zeggen samen met de submodules, kan de code van de aanvaller uitvoeren op de machine die de clone maakt.

De oorzaak is een integer-afkapping in de manier waarop Git zijn index verwerkt. Een zeer lang pad passeert de veiligheidscontrole van Git, maar Git schrijft het daarna naar schijf onder een kortere naam. Een aanvaller kan die kortere naam kiezen. Zo kan de aanvaller het .git-bestand van een submodule vervangen door een symbolische koppeling naar een map met kwaadaardige hooks of configuratie. Wanneer Git die map daarna gebruikt, wordt de code van de aanvaller uitgevoerd. De oplossing zorgt ervoor dat Git zulke zeer lange paden weigert voordat de lengte kan worden afgekapt.

In dezelfde releases worden vijf andere kwetsbaarheden verholpen:

• CVE-2026-113408: Wanneer iemand een lege repository kloont via Git-protocol v2, kan een kwaadaardige server een branchnaam sturen die path traversal bevat. Met de files-referentiebackend kan een latere update van die branch schrijven buiten de referentiemap van Git.
• CVE-2026-114467: Het samenvoegen van een tag met meer dan twee GPG-handtekeningen beschadigt het stackgeheugen en kan een denial of service veroorzaken. Hostingdiensten die zulke samenvoegingen voor hun gebruikers uitvoeren, kunnen ook getroffen worden.
• CVE-2026-114469: Een binaire patch die uitvloeit op een zeer grote omvang kan de patchgrootte-limiet van Git van ongeveer 1 GiB omzeilen en Git laten crashen door een out-of-bounds read.
• CVE-2026-105437: Een zeer grote samenvoeging met veel conflicten en een groot conflict-marker-size-attribuut kan ertoe leiden dat Git voorbij het einde van een heap-buffer schrijft. GitLab stelt dat codehostingservers het meest waarschijnlijke doelwit zijn, via git merge-tree, dat servers gebruiken om te controleren of een pull- of merge-verzoek kan worden samengevoegd.
• CVE-2026-114466: Drie git fast-import-functies (rewrite-submodules-from, rewrite-submodules-to en export-pack-edges) konden worden gebruikt om willekeurige bestanden te lezen, of om bestanden te maken en er gegevens aan toe te voegen. Git weigert ze nu in een invoerstroom, tenzij --allow-unsafe-features is ingesteld.

Geen van de bronnen meldt tot nu toe aanvallen.

Wie is getroffen

Getroffen is elk systeem dat een Git-versie draait van vóór deze verholpen releases: 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 en 2.50.2. Op servers zijn vooral deze van belang:

• Build-, CI- en deploymentservers die repositories recursief klonen (git clone --recursive, --recurse-submodules of git submodule update --init), vooral repositories of submodules van derden. Voor CVE-2026-111760 moet de gekloonde repository kwaadaardig zijn. Als u alleen uw eigen vertrouwde repositories kloont, is het risico veel kleiner, maar u moet toch updaten.
• Zelf beheerde Git-hostingservers die samenvoegingen of samenvoegcontroles uitvoeren op content die gebruikers pushen (CVE-2026-105437, CVE-2026-114467).
• GitHub Enterprise Server: de oplossingen zitten in de versies 3.19.15, 3.20.11, 3.21.9 en 3.22.4.
• Applicaties die hun eigen kopie van Git meeleveren. Zij hebben een update nodig van hun leverancier.

Niet getroffen: github.com en GitHub Enterprise Cloud. GitHub heeft de oplossingen daar al toegepast. Webservers waarop Git is geïnstalleerd maar die nooit content van buitenaf klonen of samenvoegen, zijn in de praktijk niet blootgesteld aan de kwetsbaarheid bij klonen. Update ze desondanks tijdens uw eerstvolgende onderhoudsmoment.

Git voor Windows had op 10 november 2026, 19:09 UTC nog geen versie uitgebracht op basis van Git 2.56.1. Windows-beheerders doen er goed aan hierop te letten.

Wat u nu moet doen

1. Controleer op elke server de geïnstalleerde versie met git --version.
2. Installeer een verholpen versie via de pakketbeheerder van uw besturingssysteem (bijvoorbeeld apt update && apt install --only-upgrade git of dnf upgrade git). Distributies backporten oplossingen meestal naar hun eigen pakketversies, dus controleer de beveiligingsadvisering van uw distributie om het verholpen pakket te vinden. Als u Git zelf bouwt, update dan naar 2.56.1 of naar de verholpen release van uw reeks.
3. Update GitHub Enterprise Server naar 3.19.15, 3.20.11, 3.21.9 of 3.22.4, afhankelijk van uw releaselijn. Update andere applicaties die hun eigen kopie van Git meeleveren zodra hun leverancier een oplossing uitbrengt.
4. Totdat alle systemen zijn bijgewerkt, volgt u het tijdelijke advies van GitHub. Deze stappen vervangen de update niet:
   • Kloon alleen van servers die u vertrouwt.
   • Kloon geen repositories die u niet vertrouwt recursief.
   • Voeg geen content of tags samen die u niet vertrouwt.
   • Verwerk geen binaire patches of fast-import-streams van bronnen die u niet vertrouwt.
5. Op Git-hostingservers die nog niet kunnen worden bijgewerkt, beschermt u zich tegen CVE-2026-105437. Voeg conflict-marker-size=7 toe aan het bestand info/attributes van elke repository, of schakel samenvoegcontroles uit voor niet-vertrouwde repositories.
6. Herstart langlopende services die Git aanroepen, zoals CI-runners of Git-hostingdaemons, zodat ze de nieuwe binary gebruiken.

Hoe u controleert of u getroffen bent

• Voer git --version uit. Versies die ouder zijn dan de verholpen release van hun reeks zijn getroffen: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1 of 2.56.1. Voor pakketten van distributies vergelijkt u de pakketversie met de advisering van uw distributie in plaats van het upstream-versienummer.
• Zoek in uw build- en deploymentscripts en CI-configuraties naar --recursive, --recurse-submodules en submodule update. Controleer welke van de gekloonde repositories afkomstig zijn van derden.
• Zoek naar Git-kopieën buiten de pakketbeheerder, bijvoorbeeld met which -a git. Controleer ook de Git die is meegeleverd met CI-runners, containers en andere applicaties.

Bronnen

• https://nvd.nist.gov/vuln/detail/CVE-2026-111760
• https://thehackernews.com/2026/11/git-patches-flaw-that-lets-malicious.html