Cảnh báo: Git phát hành bản vá cho 6 lỗ hổng bảo mật nghiêm trọng

Dự án Git vừa chính thức phát hành các phiên bản mới nhằm giải quyết 6 lỗ hổng bảo mật nghiêm trọng. Các lỗ hổng này bao gồm khả năng thực thi mã tùy ý khi thực hiện recursive clone từ các repository độc hại, ghi dữ liệu vào các tệp không mong muốn, cũng như lỗi hỏng bộ nhớ (memory corruption) trong quá trình xử lý merge hoặc áp dụng binary patch.

Các phiên bản đã được vá

Các bản sửa lỗi đã được tích hợp trong Git 2.56.1. Ngoài ra, các bản backport cũng đã được cung cấp cho các nhánh duy trì cũ hơn: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 và 2.50.2. Người dùng và các đơn vị phát triển ứng dụng có tích hợp Git nên ưu tiên cập nhật lên phiên bản mới nhất để đảm bảo an toàn.

Chi tiết các lỗ hổng chính

• CVE-2026-111760 (Thực thi mã từ xa): Lỗi cắt ngắn số nguyên trong quá trình xử lý index cho phép kẻ tấn công vượt qua kiểm tra đường dẫn, từ đó thay thế tệp .git của submodule bằng một symbolic link độc hại để thực thi mã khi clone.
• CVE-2026-113408 (Path traversal): Lỗ hổng trong giao thức Git v2 cho phép server độc hại gửi các tham chiếu HEAD chứa thành phần path-traversal, dẫn đến việc ghi tệp ngoài phạm vi cho phép.
• CVE-2026-114467 (Hỏng stack): Lỗi tràn bộ đệm khi xử lý các thông báo có chứa quá nhiều chữ ký GPG, có thể dẫn đến từ chối dịch vụ (DoS).
• CVE-2026-114469 (Out-of-bounds read): Lỗi trong quá trình áp dụng binary patch cho phép kẻ tấn công vượt qua kiểm tra kích thước tệp, gây crash hệ thống.
• CVE-2026-105437 (Hỏng heap): Lỗi tràn số trong quá trình tính toán bộ nhớ khi thực hiện các merge lớn, đặc biệt là khi có nhiều xung đột (conflict).
• CVE-2026-114466 (Lạm dụng fast-import): Một số tính năng trong git fast-import thiếu cơ chế kiểm soát, cho phép truy cập tệp tin ngoài repository.

Khuyến nghị từ GitHub

GitHub đã triển khai các bản vá trên toàn bộ hệ thống của mình, bao gồm GitHub Enterprise Cloud và GitHub Enterprise Server. Đối với người dùng cá nhân và quản trị viên hệ thống, việc cập nhật Git là biện pháp bảo vệ hiệu quả nhất. Trong trường hợp chưa thể cập nhật ngay, người dùng nên hạn chế clone từ các nguồn không tin cậy, tránh thực hiện merge hoặc xử lý các tệp tin/stream từ các nguồn không xác định.

Nguồn tham khảo: GitHub Blog