Le célèbre projet de système de gestion de versions Git a annoncé le lancement de nouvelles versions corrigeant six vulnérabilités de sécurité multiples affectant les opérations de clonage récursif, la gestion des références, les opérations de fusion, l'application de correctifs binaires et les importateurs rapides. Ces mises à jour visent à fournir une protection essentielle aux développeurs et aux plateformes qui s'appuient sur le système pour la gestion du code source.
Détails des principales vulnérabilités
La liste des correctifs inclut la vulnérabilité CVE-2026-111760, qui permet l'exécution de code arbitraire lors de clonages récursifs de dépôts malveillants en raison d'une troncature d'entiers dans le traitement des index. La vulnérabilité CVE-2026-113408 concernant le parcours de répertoires via un en-tête de navigateur annoncé sur un serveur utilisant le protocole de version deux a également été identifiée, ainsi que la vulnérabilité CVE-2026-114467, qui consiste en une corruption de la mémoire tampon lors de la suppression de signatures GPG multiples.
La liste comprend également la vulnérabilité CVE-2026-114469 liée à des lectures hors limites lors du traitement de correctifs binaires compressés, et la vulnérabilité CVE-2026-105437 provoquant une corruption de la mémoire dynamique lors d'opérations de fusion à grande échelle. De plus, la mise à jour corrige la vulnérabilité CVE-2026-114466 liée à l'accès non autorisé au système de fichiers via des flux d'importation rapide utilisant des fonctionnalités précédemment non restreintes.
Mises à jour et versions disponibles
Les correctifs sont principalement disponibles dans la version Git 2.56.1, avec des mises à jour rétroactives pour les générations précédentes incluant les versions 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 et 2.50.2. Le projet recommande aux développeurs et aux administrateurs système de mettre à jour immédiatement vers la version corrigée ou de s'appuyer sur les mises à jour spécifiques à la branche de maintenance utilisée.
Qu'est-ce qui change concrètement ?
Sur le plan pratique, la mise à jour impose de nouvelles vérifications strictes sur la longueur des chemins d'index, les noms de références annoncés et les tailles décompressées des correctifs, empêchant ainsi le dépassement des limites de mémoire sécurisées ou l'écriture de fichiers non intentionnels. De son côté, la plateforme GitHub a déployé les correctifs sur son infrastructure et mis à jour des services tels que GitHub Enterprise Server, GitHub Desktop et Copilot.
Le processus de mise à jour reste le moyen le plus efficace de protection, tout en évitant de cloner des dépôts non désirés ou de fusionner des contenus de source inconnue temporairement si la mise à jour immédiate n'est pas possible.