أصدر مشروع Git اليوم إصدارات جديدة لمعالجة ست ثغرات أمنية. تشمل هذه الثغرات تنفيذ تعليمات برمجية عشوائية عند استنساخ مستودع خبيث بشكل متكرر، وكتابة بيانات إلى ملفات غير مقصودة، وتلف الذاكرة عند معالجة عمليات الدمج أو التصحيحات الثنائية. تم تضمين الإصلاحات في Git 2.56.1، مع إصدارات سابقة مدعومة لـ Git 2.55.1 و 2.54.1 و 2.53.1 و 2.52.1 و 2.51.3 و 2.50.2. يوصى بالتحديث إلى Git 2.56.1 أو الإصدار المحدّث لسلسلة الصيانة الخاصة بك، وتحديث أي تطبيقات تتضمن Git.
ما هي الثغرات الأمنية في Git؟
CVE-2026-111760: تنفيذ التعليمات البرمجية أثناء الاستنساخ المتكرر
يفحص Git المسارات قبل كتابة الملفات في شجرة العمل، بما في ذلك رفض المسارات التي قد تتجاوز بيانات تعريف المستودع الخاص به. ومع ذلك، يمكن أن يتسبب اقتطاع عدد صحيح في معالجة فهرس Git في اجتياز مسار طويل للغاية للتحقق تحت اسم واحد ثم كتابته باستخدام اسم أقصر. يمكن للمهاجم استخدام هذا التناقض لاستبدال ملف .git الخاص بالوحدة الفرعية برابط رمزي يشير إلى دليل يحتوي على تكوين أو خطافات ضارة. عندما يستخدم Git هذا الدليل لاحقًا، يمكنه تنفيذ تعليمات برمجية يتحكم فيها المهاجم أثناء الاستنساخ المتكرر. يرفض الإصلاح مسارات إدخال الفهرس الطويلة للغاية قبل أن يتم اقتطاع أطوالها.
CVE-2026-113408: تجاوز المسار عبر HEAD المعلن من الخادم
عند استنساخ مستودع فارغ باستخدام بروتوكول Git v2، يمكن للخادم الإعلان عن مرجع رمزي HEAD يشير إلى فرع غير موجود (فرع لا يحتوي على أي التزامات بعد). لم يتحقق Git من هدف المرجع الرمزي قبل تخزينه محليًا. يمكن لخادم خبيث توفير اسم يحتوي على مكونات تجاوز المسار. باستخدام الواجهة الخلفية لمرجع الملفات، يمكن لعملية لاحقة تقوم بتحديث الفرع أن تكتب خارج دليل المرجع المقصود. يتحقق Git الآن من الهدف المعلن قبل قبوله. يتحقق الإصدار أيضًا من أسماء المراجع الأخرى وأهداف المراجع الرمزية المستلمة عبر بروتوكول v2.
CVE-2026-114467: تلف المكدس عند إزالة التوقيعات
عند تجريد توقيعات GPG من رسالة، افترض Git وجود توقيعين على الأكثر. يمكن لرسالة مصممة خصيصًا تحتوي على أكثر من توقيعين أن تتسبب في كتابة Git خارج نهاية مصفوفة مكدس ذات حجم ثابت. يمكن أن يحدث هذا عن طريق دمج علامة تحتوي على أكثر من توقيعين، مما يتسبب في تلف الذاكرة واحتمال رفض الخدمة. يمكن أن تتأثر أيضًا خدمات الاستضافة التي تجري عمليات الدمج هذه نيابة عن المستخدمين. يزيل الإصلاح المصفوفة ذات الحجم الثابت ويتعامل مع الرسائل التي تحتوي على أي عدد من التوقيعات.
CVE-2026-114469: قراءات خارج الحدود عند تطبيق التصحيحات الثنائية
يرفض Git التصحيحات التي يزيد حجمها عن 1 جيجابايت تقريبًا لأن رمز تطبيق التصحيح الخاص به لا يمكنه التعامل بأمان مع المدخلات الأكبر. ومع ذلك، فإن هذا الفحص أخذ في الاعتبار فقط حجم التصحيح كما تم توفيره. يتم ضغط التصحيحات الثنائية وترميزها، لذلك يمكن لتصحيح صغير نسبيًا أن يتجاوز هذا الحد. يمكن لتصحيح مصمم خصيصًا تجاوز فحص حجم الإدخال والتسبب في قراءة خارج الحدود، مما يؤدي إلى تعطل Git. يتحقق Git الآن أيضًا من الحجم المعلن غير المضغوط قبل معالجة التصحيح الثنائي.
CVE-2026-105437: تلف الذاكرة المؤقتة (Heap) أثناء عمليات الدمج الكبيرة
تحسب آلية دمج Git مقدار الذاكرة التي تحتاجها لنتيجة الدمج قبل كتابة الإخراج. يمكن أن يتجاوز هذا الحساب الحد الأقصى عندما تكون النتيجة كبيرة جدًا، بما في ذلك عندما يتم دمج العديد من التعارضات مع سمة conflict-marker-size كبيرة. يمكن أن يتسبب تجاوز الحد الأقصى في تخصيص Git لمخزن مؤقت صغير جدًا، ثم الكتابة خارجه، مما يؤدي إلى تلف ذاكرة الكومة (heap). يؤثر هذا على التطبيقات وخدمات الاستضافة التي تستخدم Git لدمج محتوى غير موثوق به، بالإضافة إلى عمليات الدمج المحلية. يستخدم الإصلاح أنواعًا مناسبة للحجم وعمليات حسابية مفحوصة، ويرفض عمليات الدمج التي لا يمكن تمثيل حجم إخراجها بأمان.
CVE-2026-114466: الوصول إلى نظام الملفات عبر تدفقات fast-import
يقرأ git fast-import تدفقًا من الأوامر لبناء مستودع. يمكن لبعض الأوامر الوصول إلى ملفات خارج المستودع، لذلك يقيدها Git بالفعل عندما تظهر في تدفق إدخال غير موثوق به. ثلاث ميزات إضافية افتقرت إلى هذه الحماية. يمكن لميزتي rewrite-submodules-from و rewrite-submodules-to قراءة ملفات عشوائية، مما قد يكشف محتوياتها عبر رسائل الخطأ. يمكن لخيار export-pack-edges إنشاء ملفات أو إلحاق بيانات بملفات موجودة. يتم الآن رفض هذه الميزات عند توفيرها عبر تدفق الإدخال ما لم يقم المتصل بتمكين --allow-unsafe-features بشكل صريح. قم بتمكين هذا الخيار فقط عندما تثق بالبرنامج الذي ينشئ التدفق.
ما هي التحسينات الأمنية الإضافية؟
تكمل هذه الفحوصات حدود طول المسار المذكورة أعلاه، مما يمنع اقتطاع أحجام التخصيص أو تجاوزها قبل أن ينسخ Git المسار إلى الذاكرة.
كيف تحمي GitHub مستخدميها؟
- نشرت GitHub إصلاحات لهذه الثغرات الأمنية عبر github.com و GitHub Enterprise Cloud و GitHub Enterprise Cloud مع الإقامة المحلية للبيانات.
- تتوفر تحديثات GitHub Enterprise Server في الإصدارات 3.19.15 و 3.20.11 و 3.21.9 و 3.22.4. توصي GitHub بأن يقوم المسؤولون بالترقية في أقرب وقت ممكن.
- تنسق GitHub إصدارات GitHub Desktop وتطبيق GitHub Copilot التي تتضمن إصدارات Git المحدّثة.
- ستتلقى GitHub Codespaces و GitHub Actions أيضًا إصدارات Git المحدّثة.
كيف يمكن تحديث Git؟
يعد التحديث الطريقة الأكثر فعالية للحماية من هذه الثغرات الأمنية. قم بتثبيت إصدار محدّث من نظام التشغيل الخاص بك أو موزع Git، وقم بتحديث التطبيقات التي تتضمن نسختها الخاصة من Git. يجب على المسؤولين أيضًا تحديث تثبيتات Git المستخدمة بواسطة الأتمتة والخدمات التي تعالج المستودعات نيابة عن المستخدمين. إذا لم تتمكن من التحديث فورًا، فاستنسخ فقط من الخوادم الموثوقة وتجنب الاستنساخ المتكرر للمستودعات غير الموثوق بها. تجنب دمج المحتوى أو العلامات غير الموثوق بها، أو معالجة التصحيحات الثنائية أو تدفقات fast-import من مصادر غير موثوق بها. هذه الاحتياطات لا تحل محل تثبيت الإصلاحات.
