Git corrige falha que executava código em clones recursivos

Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clones

Falha de truncamento de inteiro no manejo do index permitia execução de código durante git clone --recurse-submodules; correção lançada em Git 2.56.1 e backports para 2.50–2.55.

Uma falha de truncamento de inteiro no tratamento do index do Git (CVE-2026-111760) permitia que um caminho extremamente longo passasse na verificação de segurança e fosse gravado no disco com um nome encurtado que o atacante podia definir como .git; assim um submodule clonado poderia ter seu .git substituído por um symlink para uma pasta controlada pelo atacante, permitindo execução de hooks maliciosos. O Git 2.56.1 corrige o problema, com backports em 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 e 2.55.1. Também foram corrigidos CVE-2026-113408, CVE-2026-114467, CVE-2026-114469, CVE-2026-105437 e CVE-2026-114466. GitHub aplicou as correções em github.com e GitHub Enterprise Cloud; para GitHub Enterprise Server as correções estão nas versões 3.19.15, 3.20.11, 3.21.9 e 3.22.4; GitHub Desktop e Copilot app terão updates em preparação; Git for Windows não tinha lançado uma build baseada em 2.56.1 até 19:09 UTC. Atualize imediatamente para as versões corrigidas, peça ao seu fornecedor de Git por backports, evite git clone --recurse-submodules e processamento de patches/streams binários de fontes não confiáveis e isole runners/hosts que fazem clones automáticos.

Quadrinho 1 de 3

• #git
• #cve