انتشار به‌روزرسانی‌های امنیتی برای Git جهت رفع شش آسیب‌پذیری بحرانی
Git fixes six vulnerabilities, including code execution during recursive clones
پروژه Git با انتشار وصله‌های امنیتی، شش آسیب‌پذیری را که امکان اجرای کد از راه دور، فساد حافظه و دسترسی غیرمجاز به فایل‌ها را فراهم می‌کردند، برطرف کرد. این نقص‌ها در فرآیندهای کلون‌سازی، مدیریت مخازن و پردازش داده‌های ورودی شناسایی شده‌اند.
آسیب‌پذیری اجرای کد در فرآیند کلون‌سازی
آسیب‌پذیری CVE-2026-111760 ناشی از خطای برش اعداد صحیح (Integer Truncation) در مدیریت ایندکس Git است. در این سناریو، یک مسیر فایل بسیار طولانی می‌تواند از بررسی‌های امنیتی عبور کرده و سپس با نامی کوتاه‌تر نوشته شود. این اختلاف به مهاجم اجازه می‌دهد فایل .git یک زیرماژول را با یک لینک نمادین جایگزین کند که به دایرکتوری حاوی تنظیمات یا هوک‌های مخرب اشاره دارد و در نهایت منجر به اجرای کد کنترل‌شده توسط مهاجم در حین کلون‌سازی بازگشتی می‌شود.
سایر نقص‌های امنیتی شناسایی شده
پنج آسیب‌پذیری دیگر شامل موارد زیر است: CVE-2026-113408 که به دلیل عدم اعتبارسنجی هدف HEAD در پروتکل v2، امکان پیمایش مسیر (Path Traversal) را فراهم می‌کند. CVE-2026-114467 که به دلیل سرریز پشته در زمان پردازش امضاهای GPG رخ می‌دهد. CVE-2026-114469 که مربوط به عدم بررسی اندازه پچ‌های باینری پیش از رمزگشایی است. CVE-2026-105437 که ناشی از سرریز محاسبات اندازه حافظه در عملیات ادغام (Merge) است و در نهایت CVE-2026-114466 که به دلیل فقدان محافظت در ویژگی‌های خاص git fast-import، امکان خواندن یا نوشتن فایل‌های غیرمجاز را فراهم می‌کرد.
اقدامات اصلاحی و نسخه‌های منتشر شده
وصله‌های امنیتی در نسخه Git 2.56.1 و نسخه‌های پشتیبان برای سری‌های 2.55.1، 2.54.1، 2.53.1، 2.52.1، 2.51.3 و 2.50.2 ارائه شده‌اند. GitHub نیز زیرساخت‌های خود شامل GitHub Enterprise Cloud و سرویس‌های مرتبط را به‌روزرسانی کرده و برای مدیران GitHub Enterprise Server، ارتقا به نسخه‌های 3.19.15، 3.20.11، 3.21.9 یا 3.22.4 را توصیه کرده است.
نکته‌های کلیدی
- رفع شش آسیب‌پذیری با قابلیت اجرای کد و فساد حافظه
- انتشار نسخه اصلی 2.56.1 و نسخه‌های اصلاحی برای سری‌های قدیمی‌تر
- تأثیرگذاری بر فرآیندهای کلون‌سازی، ادغام و پردازش پچ‌های باینری
- لزوم به‌روزرسانی نرم‌افزارهای جانبی که از Git استفاده می‌کنند
- توصیه به پرهیز از کلون‌سازی و ادغام محتوای منابع غیرقابل اعتماد در صورت عدم امکان به‌روزرسانی فوری
توصیه‌های منبع
جمله‌های خود خبر، بدون تغییر: Help Net Security
“Users should install a patched Git from their operating system or Git distributor, and administrators should also update Git on automation and services that process repositories on behalf of others.”