修正版と対応
詳細を読む
Gitプロジェクトは2026年11月10日、6件のセキュリティ脆弱性を修正する新バージョンを公開しました。悪意あるリポジトリーの再帰クローンで任意コードが実行される恐れのほか、意図しないファイルへの書き込みや、マージ・バイナリーパッチ処理時のメモリー破損などが対象です。GitHubは、Git 2.56.1または各保守系列向けの修正版へ更新するよう勧めています。
深刻な問題の一つは、再帰クローン時に長いパス名の検証結果と実際の書き込み先が食い違い、サブモジュールの設定ファイルを置き換えられる点です。攻撃者が細工したリポジトリーを使うと、その後の処理で不正なフックなどが実行される可能性があります。修正版は、長すぎるインデックス内のパスを事前に拒否します。
ほかに、空のリポジトリーを複製する際にサーバーが示す参照名を悪用し、参照ディレクトリー外へ書き込む問題がありました。また、署名を取り除く処理、圧縮バイナリーパッチの展開、巨大なマージ結果のメモリー計算にも不備が見つかりました。Gitは参照名の検証やサイズ確認、オーバーフロー対策を追加しています。
fast-importの入力ストリームにも、リポジトリー外のファイルを読み取ったり、ファイルを作成・追記したりできる機能がありました。修正版では、信頼できる生成元だと明示する場合を除き、該当機能を入力ストリームから利用できないようにしました。GitHubは自社サービスへ修正を適用し、GitHub Enterprise Serverの管理者にも更新を推奨しています。
利用者はOSやGit配布元から修正版を導入し、Gitを同梱するアプリや自動化環境も確認する必要があります。更新までの間は、信頼できるサーバー以外からの複製や、信頼できない内容の再帰クローン、マージ、パッチ適用を避けるようGitHubは案内しています。これらの回避策は修正版の導入に代わるものではありません。