El proyecto Git ha anunciado el lanzamiento de nuevas versiones con el objetivo de mitigar seis vulnerabilidades de seguridad recientemente descubiertas. Estas vulnerabilidades incluyen la ejecución arbitraria de código al clonar recursivamente un repositorio malicioso, escrituras en archivos no deseados y corrupción de memoria durante el procesamiento de fusiones o parches binarios.
Las correcciones a estas vulnerabilidades están incluidas en Git 2.56.1, además de contar con retrocompatibilidades para versiones anteriores como Git 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2. Se recomienda a los usuarios actualizar a Git 2.56.1 o a una de las versiones parcheadas de las series de mantenimiento, y también actualizar cualquier aplicación que incluya Git.
Entre las vulnerabilidades más destacadas se encuentra la CVE-2026-111760, que permite la ejecución de código durante clones recursivos debido a una truncación de enteros en el manejo de índices de Git. Esto podría permitir a un atacante reemplazar un archivo .git con un enlace simbólico que apunte a una configuración maliciosa. La solución rechaza rutas de entrada de índice extremadamente largas antes de que sus longitudes puedan ser truncadas.
Otra vulnerabilidad crítica es la CVE-2026-113408, que involucra una ruta de recorrido a través del HEAD anunciado por un servidor. Esto podía llevar a que un servidor malicioso proporcione un nombre con componentes de recorrido de ruta, resultando en escrituras fuera del directorio de referencia intencionado. Ahora Git valida el objetivo anunciado antes de aceptar su persistencia.
La CVE-2026-114467 destaca un caso de corrupción de pila cuando se remueven firmas GPG. En este caso, un mensaje especialmente manipulado que contenga más de dos firmas podía sobrescribir un arreglo de pila de tamaño fijo, llevando a la corrupción de memoria y posible denegación de servicio.
El equipo de Git ha fortalecido adicionalmente el sistema mediante nuevas medidas de seguridad, como la inclusión de chequeos de desbordamiento en asignaciones de entrada de índice, evitando que los tamaños de asignación sean truncados o desborden antes de que Git copie una ruta en memoria.
Para proteger a los usuarios de GitHub, el servicio ya implementó correcciones para estas vulnerabilidades en varias de sus plataformas, incluidas GitHub.com, GitHub Enterprise Cloud y GitHub Enterprise Cloud con residencia de datos. También se han lanzado actualizaciones para el GitHub Enterprise Server en su versión 3.19.15 y superiores, y se coordinarán lanzamientos de GitHub Desktop y la aplicación GitHub Copilot con versiones de Git parcheadas.
Es fundamental que los usuarios actualicen sus versiones de Git a las más recientes para garantizar su seguridad ante estas vulnerabilidades. Aquellos que no puedan actualizar de inmediato deben ser cautelosos y solo clonar desde servidores de confianza, evitando fusionar contenido o procesar parches de fuentes no verificadas. Sin embargo, estas medidas no son un sustituto para la instalación de los parches de seguridad proporcionados.
vÃa: Github Open Source
