Обычное слияние веток может стать точкой входа на сервер GitLab. Компания подтвердила, что уязвимость CVE-2026-105437 в Git при определённых условиях позволяет выполнять чужие команды в среде Gitaly. Ошибка вошла в пакет из шести проблем, для которых 10 ноября выпустили исправления. GitLab оценивает угрозу как критическую.
Причина кроется в подсчёте памяти для результата слияния. Злоумышленник может задать огромный размер маркеров конфликтов в файле .gitattributes и создать несколько конфликтующих изменений. Целочисленное переполнение заставит Git выделить слишком маленький буфер и записать данные за его пределами. Серверная проверка запроса на слияние может запустить уязвимую операцию.
Под угрозой оказались самостоятельно развёрнутые GitLab CE и EE начиная с версии 16.2. Патчи вошли в GitLab 19.3.8, 19.4.6 и 19.5.4, облачные GitLab.com и GitLab Dedicated уже защищены. Сборки из исходников требуют отдельно обновить встроенный Git в Gitaly. Amazon Linux присвоила CVE-2026-105437 7,5 балла CVSS 3.1, хотя GitLab называет проблему критической.
Другая уязвимость, CVE-2026-111760, позволяет выполнить код на компьютере при рекурсивном клонировании специально созданного репозитория. Разработчики Git объяснили, что из-за усечения длины очень длинного пути проверка пропускает опасное имя. Затем атакующий может заменить служебный файл подмодуля .git символической ссылкой на каталог с вредоносными настройками или хуками.
Для такой атаки, согласно бюллетеню Git, требуется рекурсивное клонирование с --recurse-submodules и контролируемый злоумышленником репозиторий. GitHub присвоила уязвимости 8,0 балла по CVSS 3.1, тогда как Amazon Linux приводит 8,8. Похожую ошибку при обработке подмодулей Git уже исправлял в 2024 году. Для обычного клонирования без подмодулей такой способ пока не подтверждён.
CVE-2026-113408 позволяет серверу подменить HEAD пустого репозитория при клонировании по протоколу v2. При файловом хранении ссылок последующее обновление ветки может записать файл вне нужного каталога. CVE-2026-114467 повреждает стек при слиянии тега с тремя и более GPG-подписями, а CVE-2026-114469 вызывает сбой при распаковке слишком большого бинарного патча. Amazon Linux оценила проблемы в 6,5, 6,5 и 5,5 балла CVSS 3.1 соответственно.
Последняя ошибка, CVE-2026-114466, затрагивает git fast-import. Некоторые функции позволяли читать посторонние файлы, создавать новые или дописывать существующие. Теперь опасные опции запрещены без явного разрешения. В отличие от апрельской уязвимости GitHub, нынешние ошибки находятся в самом Git и затрагивают программы со встроенным Git на Windows, macOS и Linux. Amazon Linux оценила последнюю ошибку в 4,4 балла CVSS.
Исправления для Git выпущены в версиях 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 и 2.50.2, а также в Git for Windows. GitHub обновила облачные сервисы и выпустила Enterprise Server 3.19.15, 3.20.11, 3.21.9 и 3.22.4. Патчи для Desktop, Copilot, Codespaces и Actions ещё готовятся. Debian и Amazon Linux пока фиксируют незащищённые пакеты. Подтверждённых атак разработчики не заявляли.
