Hoppa till innehållet
Centoculus
sv

Säkerhetslarm · Hög

Git: skadliga repositorier kan köra kod vid rekursiva klonar (CVE-2026-111760)

· 5 minuters läsning · Centoculus Security Team

Känd sedan

Berörda: Git före 2.56.1 (åtgärdat i 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1, 2.56.1)

Vad hände

Den 11 november 2026 släppte Git-projektet nya versioner som åtgärdar sex säkerhetsbrister. Den allvarligaste är CVE-2026-111760. Att klona ett skadligt repository rekursivt, alltså tillsammans med dess submoduler, kan köra angriparens kod på datorn som utför klonen.

Orsaken är en heltalstrunkering i hur Git hanterar sitt index. En mycket lång sökväg klarar Gits säkerhetskontroll, men Git skriver sedan ner den på disk under ett kortare namn. En angripare kan välja det kortare namnet. Det gör att angriparen kan ersätta en submodul:s .git-fil med en symbolisk länk till en katalog som innehåller skadliga hooks eller konfiguration. När Git sedan använder den katalogen körs angriparens kod. Åtgärden gör att Git avvisar sådana mycket långa sökvägar innan deras längd kan kapas.

De samma versionerna åtgärdar fem andra brister:

  • CVE-2026-113408: När någon klonar ett tomt repository över Git-protokoll v2 kan en skadlig server skicka ett branchnamn som innehåller path traversal. Med referensbackenden files kan en senare uppdatering av den branchen skriva utanför Gits referenskatalog.
  • CVE-2026-114467: Sammanslagning av en tagg med fler än två GPG-signaturer skadar stackminnet och kan orsaka denial of service. Hostingtjänster som kör sådana sammanslagningar för sina användare kan också beröras.
  • CVE-2026-114469: En binärpatch som expanderar till en mycket stor storlek kan passera Gits gräns för patchstorlek på cirka 1 GiB och få Git att krascha med en läsning utanför minnesgränserna.
  • CVE-2026-105437: En mycket stor sammanslagning med många konflikter och ett stort attribut conflict-marker-size kan få Git att skriva förbi slutet på en heap-buffert. GitLab uppger att kodhostingservrar är de mest sannolika målen, via git merge-tree, som servrar kör för att kontrollera om en pull- eller merge request kan slås samman.
  • CVE-2026-114466: Tre funktioner i git fast-import (rewrite-submodules-from, rewrite-submodules-to och export-pack-edges) kunde användas för att läsa godtyckliga filer, eller skapa filer och lägga till data i dem. Git avvisar dem nu i en indataström om inte --allow-unsafe-features är satt.

Inga av källorna rapporterar attacker hittills.

Vem som berörs

Berörd är varje system som kör en Git-version som är äldre än dessa åtgärdade versioner: 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 och 2.50.2. På servrar gäller detta främst:

  • Bygg-, CI- och driftservrar som klonar repositories rekursivt (git clone --recursive, --recurse-submodules eller git submodule update --init), särskilt repositories eller submoduler från tredje part. För att CVE-2026-111760 ska fungera måste det klonade repositoryt vara skadligt. Om du bara klonar egna betrodda repositories är risken betydligt lägre, men du bör ändå uppdatera.
  • Självhostade Git-hostingservrar som kör sammanslagningar eller merge-kontroller på innehåll som användare pushar (CVE-2026-105437, CVE-2026-114467).
  • GitHub Enterprise Server: åtgärderna finns i versionerna 3.19.15, 3.20.11, 3.21.9 och 3.22.4.
  • Applikationer som levererar en egen kopia av Git. De behöver en uppdatering från sin leverantör.

Inte berörda: github.com och GitHub Enterprise Cloud. GitHub har redan tillämpat åtgärderna där. Webbservrar som har Git installerat men aldrig klonar eller slår samman innehåll från utsidan är i praktiken inte exponerade för klonbristen. Uppdatera dem ändå vid nästa underhåll.

Git för Windows hade inte släppt en version baserad på Git 2.56.1 per 10 november 2026, 19:09 UTC. Windows-administratörer bör följa upp när den släpps.

Vad du bör göra nu

  1. Kontrollera den installerade versionen på varje server med git --version.
  2. Installera en åtgärdad version via operativsystemets pakethanterare (till exempel apt update && apt install --only-upgrade git eller dnf upgrade git). Distributioner bakportar ofta åtgärder i sina egna paketversioner, så kontrollera din distributions säkerhetsbulletin för att hitta det åtgärdade paketet. Bygger du Git själv, uppgradera till 2.56.1 eller till den åtgärdade versionen i din serie.
  3. Uppdatera GitHub Enterprise Server till 3.19.15, 3.20.11, 3.21.9 eller 3.22.4, beroende på vilken release-linje du använder. Uppdatera andra applikationer som levererar en egen kopia av Git när leverantören har släppt en åtgärd.
  4. Tills alla system är uppdaterade, följ GitHubs tillfälliga råd. Dessa steg ersätter inte uppdateringen:
    • Klona bara från servrar du litar på.
    • Klona inte repositories du inte litar på rekursivt.
    • Slå inte samman innehåll eller taggar du inte litar på.
    • Bearbeta inte binärpatchar eller fast-import-strömmar från källor du inte litar på.
  5. På Git-hostingservrar som inte kan uppdateras än, skydda mot CVE-2026-105437. Lägg till conflict-marker-size=7 i varje repositorys fil info/attributes, eller stäng av merge-kontroller för repositories som inte är betrodda.
  6. Starta om långlivade tjänster som anropar Git, till exempel CI-runners eller Git-hostingdaemoner, så att de använder den nya binären.

Så kontrollerar du om du berörs

  • Kör git --version. Versioner äldre än den åtgärdade versionen i sin serie är berörda: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1 eller 2.56.1. För distributionspaket, jämför paketversionen med din distributions bulletin i stället för det uppströms versionsnumret.
  • Sök i dina bygg- och driftskript samt CI-konfigurationer efter --recursive, --recurse-submodules och submodule update. Kontrollera vilka av de repositories de klonar som kommer från tredje part.
  • Leta efter Git-kopior utanför pakethanteraren, till exempel med which -a git. Kontrollera även Git som följer med CI-runners, containrar och andra applikationer.

Källor

Relaterade inlägg