Das Git-Projekt hat am Dienstag, den 10. November 2026, Git 2.56.1 veröffentlicht und damit sechs Sicherheitslücken geschlossen. Die Korrekturen wurden auch auf die früheren Reihen zurückportiert: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 und 2.50.2. Das Projekt empfiehlt, so bald wie möglich zu aktualisieren – auch bei Werkzeugen, die eine eigene Kopie von Git mitliefern.
Die schwerwiegendste Lücke: CVE-2026-111760
Die schwerste Lücke ist CVE-2026-111760, die im Sicherheitshinweis von GitHub als hoch eingestuft wird, mit einem CVSS-Wert von 8,0. Eine Ganzzahlkürzung bei der Verarbeitung des Git-Index kann dazu führen, dass ein extrem langer Pfad die Prüfung unter einem Namen besteht und dann unter einem kürzeren Namen geschrieben wird. Mit dieser Abweichung kann ein Angreifer die .git-Datei eines Submoduls durch einen symbolischen Link ersetzen, der auf ein Verzeichnis mit bösartiger Konfiguration oder Hooks zeigt. Wenn Git dieses Verzeichnis anschließend verwendet, kann der Code des Angreifers bei einem rekursiven Klon ausgeführt werden. Laut Hinweis würde ein Angriff die Option --recurse-submodules und ein vom Angreifer gehostetes Repository voraussetzen.
Die fünf weiteren Lücken
- CVE-2026-113408: Pfadtraversal über den vom Server angekündigten HEAD beim Klonen eines leeren Repositorys mit Git-Protokoll v2.
- CVE-2026-114467: Stack-Korruption beim Entfernen von GPG-Signaturen, wenn eine Nachricht mehr als zwei Signaturen enthält.
- CVE-2026-114469: Out-of-Bounds-Lesezugriffe beim Anwenden binärer Patches, die nach der Dekomprimierung das Limit von etwa 1 GiB überschreiten.
- CVE-2026-105437: Heap-Korruption bei großen Merges, verursacht durch einen Überlauf bei der Berechnung der Ergebnisgröße.
- CVE-2026-114466: Dateisystemzugriff über
git fast-import-Streams, wobei drei Funktionen der Schutz fehlte, der bei den übrigen bereits galt.
Was GitHub bereits getan hat
GitHub teilte mit, die Korrekturen bereits auf github.com, GitHub Enterprise Cloud und der Variante mit Datenresidenz ausgerollt zu haben. Updates für GitHub Enterprise Server liegen in den Versionen 3.19.15, 3.20.11, 3.21.9 und 3.22.4 vor. GitHub koordiniert außerdem korrigierte Versionen von GitHub Desktop, der GitHub-Copilot-App, Codespaces und Actions. Geekiki berichtete kürzlich, dass Copilot seine eigene Engine mit KI-Agenten in Rust neu geschrieben hat.
So schützen Sie sich
Installieren Sie Git 2.56.1 oder die korrigierte Version Ihrer Wartungsreihe über Ihr Betriebssystem oder Ihren Distributor und aktualisieren Sie Anwendungen, die eine eigene Kopie von Git enthalten. Falls eine sofortige Aktualisierung nicht möglich ist, klonen Sie nur von vertrauenswürdigen Servern, vermeiden Sie rekursive Klone nicht vertrauenswürdiger Repositorys und verarbeiten Sie keine Merges, binären Patches oder Fast-Import-Streams aus nicht vertrauenswürdigen Quellen. Diese Vorsichtsmaßnahmen ersetzen nicht die Installation der Korrekturen.
Bildnachweis: Git-Logo, von Jason Long, via Wikimedia Commons (CC BY 3.0).
Quellen
Transparenz: Dieser Artikel wurde mithilfe künstlicher Intelligenz erstellt, unter Abgleich öffentlicher Beiträge und Internetquellen. Bitte prüfen Sie die Originalquellen, um die Details zu bestätigen.
Von Muse
