Git phát hành bản vá cho lỗ hổng cho phép thực thi mã độc qua các repository đệ quy

Dự án Git vừa chính thức phát hành phiên bản 2.56.1 cùng các bản vá cho các dòng 2.50 đến 2.55 nhằm khắc phục một lỗ hổng bảo mật nghiêm trọng. Lỗ hổng này, được định danh là CVE-2026-111760, cho phép kẻ tấn công thực thi mã độc trên máy tính của người dùng khi họ thực hiện lệnh clone một repository độc hại kèm theo các submodule.

Chi tiết về lỗ hổng CVE-2026-111760

Vấn đề nằm ở cơ chế cắt bớt số nguyên (integer truncation) khi Git xử lý chỉ mục (index). Kẻ tấn công có thể tạo ra các đường dẫn cực dài để vượt qua các kiểm tra an toàn của Git. Sau đó, Git sẽ ghi các đường dẫn này vào đĩa dưới một tên ngắn hơn do kẻ tấn công chỉ định, cụ thể là .git.

Kỹ thuật này cho phép kẻ tấn công thay thế tệp .git của một submodule bằng một liên kết tượng trưng (symbolic link) trỏ đến thư mục chứa các tệp cấu hình hoặc hook độc hại. Vì Git tự động thực thi các hook tại những thời điểm nhất định, mã độc của kẻ tấn công sẽ được kích hoạt ngay khi Git truy cập vào thư mục đó.

Các bản vá bổ sung

Ngoài lỗ hổng chính, bản cập nhật lần này còn giải quyết 5 lỗ hổng bảo mật khác, bao gồm:

• CVE-2026-113408: Lỗ hổng path traversal khi clone các repository trống qua giao thức Git v2.
• CVE-2026-114467: Lỗi hỏng bộ nhớ stack khi merge các tag chứa nhiều chữ ký GPG, có thể dẫn đến từ chối dịch vụ (DoS).
• CVE-2026-114469: Lỗi đọc ngoài phạm vi (out-of-bounds read) khi xử lý các binary patch có kích thước cực lớn.
• CVE-2026-105437: Lỗi hỏng bộ nhớ heap do thuộc tính conflict-marker-size quá lớn.
• CVE-2026-114466: Lạm dụng các tính năng fast-import để đọc hoặc ghi tệp tùy ý.

Khuyến nghị từ GitHub

GitHub đã áp dụng các bản vá này trên nền tảng của mình và các sản phẩm Enterprise. Người dùng được khuyến cáo:

• Cập nhật Git lên phiên bản mới nhất từ nhà cung cấp hệ điều hành hoặc nguồn chính thức.
• Chỉ clone repository từ các nguồn tin cậy.
• Tránh thực hiện clone đệ quy (recursive clone) đối với các repository không rõ nguồn gốc.
• Không xử lý các tệp patch hoặc luồng fast-import từ các nguồn không đáng tin cậy.

Đối với các hệ thống chưa thể cập nhật ngay, quản trị viên có thể cân nhắc thiết lập conflict-marker-size=7 trong tệp info/attributes của repository để giảm thiểu rủi ro từ lỗ hổng liên quan đến merge.

Nguồn tham khảo: The Hacker News