Git, Kötü Niyetli Depoların Özyinelemeli Klonlama Sırasında Kod Çalıştırmasına İzin Veren Güvenlik Açığını Giderdi

Git, Kötü Niyetli Depoların Özyinelemeli Klonlama Sırasında Kod Çalıştırmasına İzin Veren Güvenlik Açığını Giderdi

Git’te bulunan bir güvenlik açığı, kötü niyetli bir deponun, alt modülleriyle birlikte özyinelemeli olarak klonlandığında bir bilgisayarda saldırganın kodunu çalıştırmasına olanak tanıyordu. Git projesi bu hafta Git 2.56.1 sürümünde bu hatayı giderdi. Ayrıca 2.50’den 2.55’e kadar olan seriler için de 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 ve 2.55.1 sürümlerinde eşleşen düzeltmeler yayınlandı.

CVE-2026-111760 olarak izlenen bu güvenlik açığı, Git’in dizinini işleme biçimindeki bir tamsayı kesme hatasından kaynaklanıyordu. Bir depodaki aşırı uzun bir yol, Git’in güvenlik kontrolünü geçebiliyor, ancak Git daha sonra bunu, saldırganın .git olarak ayarlayabileceği daha kısa bir adla diske yazıyordu.

Bu durum, bir saldırganın bir alt modülün .git dosyasını, kötü niyetli kancalar veya yapılandırma içeren bir klasöre sembolik bir bağlantıyla değiştirmesine olanak tanıyordu. Kancalar, Git’in belirli noktalarda çalıştırdığı programlar olduğundan, Git bu klasörü kullandığında saldırganın kodu çalışabiliyordu.

Alt modüller burada önem taşıyor çünkü Git, bir .git klasörünü sembolik bir bağlantıyla değiştirmeyi reddederken, yeni klonlanmış bir alt modülde .git bir dosya olarak bulunuyordu.

Git projesinin sürüm duyurusunda listelenen düzeltilmiş sürümler, bu tür aşırı uzun yolların uzunlukları kısaltılmadan önce reddedilmesini sağlıyor.

Kendi araçlarında Git’i kullanan GitHub, düzeltmeleri ayrıntılı bir yazıda açıkladı. Kullanıcıların işletim sistemlerinden veya Git dağıtıcısından düzeltilmiş bir sürümü yüklemelerini ve kendi Git kopyasını içeren tüm uygulamaları güncellemelerini tavsiye ediyor.

Şirket, düzeltmeleri github.com ve GitHub Enterprise Cloud’a zaten uyguladı. GitHub Enterprise Server için ise düzeltmeler 3.19.15, 3.20.11, 3.21.9 ve 3.22.4 sürümlerinde mevcut. GitHub Desktop ve GitHub Copilot uygulamalarının düzeltilmiş sürümleri hazırlanıyor. GitHub Codespaces ve GitHub Actions da düzeltilmiş Git’i alacak.

The Hacker News tarafından yapılan bir kontrolde, Salı günü TSİ 19:09 itibarıyla Git for Windows’un Git 2.56.1 tabanlı bir sürümünü henüz yayınlamadığı tespit edildi.

Düzeltilmiş bir sürüm yüklenene kadar GitHub, düzeltmelerin yerini almayan şu adımları öneriyor:

• Yalnızca güvendiğiniz sunuculardan klonlama yapın.
• Güvenmediğiniz depoları özyinelemeli olarak klonlamayın.
• Güvenmediğiniz içerikleri veya etiketleri birleştirmeyin.
• Güvenmediğiniz kaynaklardan ikili yamaları veya hızlı içe aktarma akışlarını işlemeyin.

Git sürümleri ayrıca beş başka güvenlik açığını da gideriyor:

• CVE-2026-113408: Birisi boş bir depoyu Git protokolü v2 üzerinden klonladığında, kötü niyetli bir sunucu yol geçişi içeren bir dal adı gönderebilir. Dosya referans arka ucu ile, bu dala yapılan daha sonraki bir güncelleme, Git’in referans klasörünün dışına yazabilir.
• CVE-2026-114467: İkiden fazla GPG imzası taşıyan bir etiketi birleştirmek, Git’in yığın belleğini bozarak hizmet reddine neden olabilir. Kullanıcılar için bu tür birleştirmeleri çalıştıran barındırma hizmetleri de etkilenebilir.
• CVE-2026-114469: Çok büyük bir boyuta genişleyen ikili bir yama, Git’in yaklaşık 1 GiB’lik yama boyutu sınırını aşarak, sınır dışı okuma ile Git’i çökertebilir.
• CVE-2026-105437: Birçok çakışma ve büyük bir çakışma işareti boyutu özniteliği içeren çok büyük bir birleştirme, Git’in çok küçük bir arabelleğin sonunu aşarak yazmasına ve yığın belleğini bozmasına neden olabilir.
• CVE-2026-114466: Üç git fast-import özelliği olan rewrite-submodules-from, rewrite-submodules-to ve export-pack-edges, rastgele dosyaları okumak veya dosyalar oluşturup onlara veri eklemek için kullanılabilir. Git artık –allow-unsafe-features ayarlanmadıkça bunları bir giriş akışında reddediyor.

CVE-2026-105437’yi atayan GitLab, kod barındırma sunucularının en çok git merge-tree aracılığıyla hedef alınmasının muhtemel olduğunu belirtti. Bir sunucu, bir çekme veya birleştirme isteğinin birleştirilip birleştirilemeyeceğini kontrol etmek için bu komutu çalıştırabilir.

Çakışma işareti boyutu özniteliği, bir depoya işlenmiş bir .gitattributes dosyasında ayarlanabilir. Bir sunucu öznitelikleri depodan okuyorsa, dalları gönderebilen ve bir çekme veya birleştirme isteği açabilen herhangi bir kullanıcı bu güvenlik açığını tetikleyebilir.

Bu güvenlik açığı için bir geçici çözüm olarak, henüz yükseltme yapamayan sunucular, her deponun info/attributes dosyasına conflict-marker-size=7 ekleyebilir veya güvenilmeyen depolar için bu birleştirme kontrollerini kapatabilir.