Git تعالج ثغرة تسمح بتنفيذ تعليمات برمجية من مستودعات ضارة

أطلقت Git تصحيحاً لثغرة قد تسمح لمستودعات ضارة بتنفيذ تعليمات برمجية على الحواسيب التي تستنسخها استنساخاً متكرراً مع وحداتها الفرعية. عولجت المشكلة في Git 2.56.1، مع تحديثات مقابلة للإصدارات السابقة من 2.50 إلى 2.55 في الإصدارات 2.50.2 و2.51.3 و2.52.1 و2.53.1 و2.54.1 و2.55.1.

تتعلق الثغرة، المسجلة باسم CVE-2026-111760، بقطع جزء من عدد صحيح (integer truncation) في طريقة إدارة Git لفهرسه. يمكن لمسار شديد الطول في مستودع أن يتجاوز فحوصات الأمان في Git، فيُكتب على القرص باسم أقصر يستطيع المهاجم تعيينه كـ .git.

يتيح هذا الوضع للمهاجم استبدال ملف .git الخاص بوحدة فرعية برابط رمزي إلى مجلد يحتوي على hooks أو إعدادات ضارة. الـ hooks هي سكربتات ينفذها Git في نقاط محددة، أي أن تعليمات المهاجم البرمجية يمكن أن تُنفذ بمجرد وصول Git إلى ذلك المجلد.

تبرز أهمية الوحدات الفرعية في أن Git لا يسمح باستبدال مجلد .git برابط رمزي، لكنه في وحدة فرعية مستنسخة حديثاً يعامل .git كملف.

تمنع الإصدارات المحدثة معالجة هذه المسارات الشديدة الطول قبل أن يصبح طولها قابلاً للقطع. يمكن العثور على تفاصيل الإصدارات في إعلان الإصدار الخاص بمشروع Git.

قدمت GitHub، التي تدمج Git في أدواتها، شرحاً للتصحيحات في مقال تفصيلي. وتوصي الشركة المستخدمين بتثبيت إصدار مصحح من نظام التشغيل أو موزع Git، وتحديث أي تطبيقات تتضمن نسختها الخاصة من Git.

طبقت GitHub هذه التصحيحات بالفعل على github.com وGitHub Enterprise Cloud. أما GitHub Enterprise Server فالتصحيحات متضمنة في الإصدارات 3.19.15 و3.20.11 و3.21.9 و3.22.4.

يجري حالياً إعداد تحديثات لـ GitHub Desktop وتطبيق GitHub Copilot، وستتلقى GitHub Codespaces وGitHub Actions أيضاً نسخة Git المحدثة.

حتى 10 نوفمبر، لم يكن Git for Windows قد أصدر نسخة مبنية على Git 2.56.1، بحسب فحص أجرته The Hacker News لوسوم الإصدار الخاصة به.

إلى أن يتمكن المستخدمون من تثبيت إصدار مصحح، تقترح GitHub عدة احتياطات:

• استنسخ من خوادم موثوقة فقط.
• تجنب الاستنساخ المتكرر للمستودعات غير الموثوقة.
• لا تدمج محتوى أو وسوم من مصادر غير موثوقة.
• امتنع عن معالجة الرقع الثنائية أو تدفقات fast-import من مصادر غير موثوقة.

تعالج إصدارات Git الأخيرة أيضاً خمس ثغرات إضافية:

• CVE-2026-113408: استنساخ مستودع فارغ عبر بروتوكول Git الإصدار 2 قد يسمح لخادم ضار بإرسال اسم فرع يتضمن اجتياز مسار (path traversal)، ما قد يكتب خارج مجلد المراجع في Git.
• CVE-2026-114467: دمج وسم يحمل أكثر من توقيعين GPG قد يفسد ذاكرة المكدس (stack memory) في Git، ما يؤدي إلى حجب الخدمة.
• CVE-2026-114469: رقعة ثنائية تتجاوز حد حجم الرقعة في Git قد تتسبب في انهيار Git بسبب قراءة خارج الحدود.
• CVE-2026-105437: عملية دمج كبيرة بتعارضات كثيرة قد تدفع Git إلى الكتابة بعد نهاية المخزن المؤقت (buffer)، ما يفسد ذاكرة الكومة (heap memory).
• CVE-2026-114466: يمكن استغلال بعض ميزات git fast-import لقراءة ملفات عشوائية أو إنشاء ملفات ببيانات مضافة، وهو ما يرفضه Git الآن ما لم يُحدد خيار –allow-unsafe-features.

أشارت GitLab، التي أسندت CVE-2026-105437، إلى أن خوادم استضافة التعليمات البرمجية مرشحة لأن تكون أهدافاً عبر أمر git merge-tree، الذي قد يُستخدم للتحقق مما إذا كان طلب سحب أو دمج قابلاً للدمج.

يمكن تعريف السمة conflict-marker-size في ملف .gitattributes داخل المستودع. وإذا قرأ خادم هذه السمات، فإن أي مستخدم قادر على دفع الفروع وفتح طلبات سحب أو دمج يمكنه إطلاق الثغرة.

كحل مؤقت، يمكن للخوادم غير القادرة على الترقية تعيين conflict-marker-size=7 في ملف info/attributes لكل مستودع، أو تعطيل فحوصات الدمج للمستودعات غير الموثوقة.

المصدر: The Hacker News