Git'te kötü amaçlı depoların özyinelemeli klonlamada kod çalıştırmasına izin veren açık yamalandı

Git 2.56.1 ve 2.50-2.55 serisindeki yamalı sürümler, submodule'lerle birlikte özyinelemeli klonlanan makinelerde saldırgan kodun çalışmasına yol açan CVE-2026-111760 açığını kapatıyor.

Git, CVE-2026-111760 olarak izlenen bir açığı kapatmak için 2.56.1 sürümünü ve 2.50 ile 2.55 serilerinin yamalı sürümlerini yayımladı. Açık, kötü amaçlı bir deponun, submodule'leriyle birlikte özyinelemeli olarak klonlanan makinelerde saldırganın kodunu çalıştırmasına olanak tanıyor. Sorun, index işlemindeki bir tam sayı kesilmesinden kaynaklanıyor: aşırı uzun bir yol güvenlik kontrolünden geçiyor, ancak kısaltılmış .git adıyla yazılıyor. Bu da bir submodule'ün .git dosyasının, kötü amaçlı hook'lar ya da yapılandırma içeren bir klasöre işaret eden bir sembolik bağla değiştirilmesine izin veriyor.

GitHub düzeltmeleri github.com ve GitHub Enterprise Cloud'a uyguladı; Enterprise Server için düzeltmeler 3.19.15 ile 3.22.4 arasındaki sürümlerde yer alıyor. GitHub Desktop, Copilot, Codespaces ve Actions'ın da düzeltmeleri alacağını bildirdi. Ekipler düzeltilmiş bir Git kurana kadar yalnızca güvendikleri sunuculardan klonlama yapmalı, güvenilmeyen depoları özyinelemeli klonlamaktan kaçınmalı ve güvenilmeyen içerikleri birleştirmemeli ya da güvenilmeyen ikili yamaları ve fast-import akışlarını işlememeli. Aynı sürümlerde beş Git açığı daha kapatıldı; bunlar arasında boş depo klonlarında dizin geçişi ve birden çok GPG imzası içeren etiketlerle yapılan birleştirmelerde hizmet reddi de yer alıyor.