Популярная система управления версиями Git объявила о выпуске новых версий, устраняющих шесть различных уязвимостей безопасности, которые затрагивают процессы рекурсивного клонирования, обработки ссылок, операции слияния, применение бинарных патчей и датчики быстрого импорта. Эти обновления обеспечивают базовую защиту для разработчиков и платформ, использующих систему для управления программным кодом.
Подробности основных уязвимостей
В список устраненных уязвимостей входит программная ошибка с кодом CVE-2026-111760, которая позволяет выполнять произвольный код во время рекурсивного клонирования вредоносных репозиториев из-за отсечения целых чисел при обработке индексов. Также была обнаружена уязвимость CVE-2026-113408, связанная с обходом путей через заголовок браузера, объявленный на сервере с использованием протокола версии 2, а также уязвимость CVE-2026-114467, заключающаяся в повреждении кэш-памяти при удалении нескольких GPG-подписей.
Список также включает уязвимость CVE-2026-114469, связанную с чтением за пределами допустимых границ при обработке сжатых бинарных патчей, и уязвимость CVE-2026-105437, вызывающую повреждение динамической памяти во время крупномасштабных операций слияния. Кроме того, обновление устраняет уязвимость CVE-2026-114466, связанную с неоправданным доступом к файловой системе через потоки быстрого импорта через функции, которые ранее не были ограничены.
Доступные обновления и версии
Исправления в основном доступны в версии Git 2.56.1, при этом предусмотрены обновления для предыдущих поколений, включая версии 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 и 2.50.2. Проект рекомендует разработчикам и системным администраторам немедленно обновиться до исправленной версии или использовать обновления для используемой ветки обслуживания.
Что меняется на практике?
На практике обновление вводит новые строгие проверки вдоль путей индексов, объявленных имен ссылок и несжатых размеров патчей, что предотвращает выход за безопасные границы памяти или непреднамеренную запись файлов. Со своей стороны, платформа GitHub развернула исправления в своей инфраструктуре и обновила такие сервисы, как GitHub Enterprise Server, а также приложения GitHub Desktop и Copilot.
Процесс обновления остается наиболее эффективным способом защиты, при этом необходимо избегать клонирования нежелательных репозиториев или временного слияния контента из неизвестных источников, если немедленное обновление невозможно.