Git: Heap-basierter Pufferüberlauf bei Three-Way-Merge über conflict-marker-size

Zusammenfassung

Git-Versionen mit einer fehlerhaften Three-Way-Merge-Routine (xdiff) enthalten einen Heap-Pufferüberlauf, der durch einen 32-Bit-Ganzzahlüberlauf bei der Berechnung der Ausgabegrosse entsteht. Ein Repository kann in einer committeten .gitattributes-Datei einen sehr grossen Wert für conflict-marker-size setzen, sodass eine kleine Datei mit vielen Konflikten die Grösse überläuft und vom Angreifer kontrollierte Daten ausserhalb des Puffers schreibt. Ein Angreifer kann Git zum Absturz bringen und möglicherweise den Heap beschädigen, etwa durch git merge, git rebase oder git merge-tree auf einem nicht vertrauenswürdigen Repository. Auf selbst betriebenen Git-Servern, die Attribute aus Repository-Bäumen lesen, kann jeder Benutzer mit Push-Rechten, der einen Merge anfordert, die Schwachstelle auslösen.

Betroffen

• Git vor 2.49.1
• Git 2.50.0-rc0 bis vor 2.50.2
• Git 2.51.0-rc0 bis vor 2.51.3
• Git 2.52.0-rc0 bis vor 2.52.1
• Git 2.53.0-rc0 bis vor 2.53.1
• Git 2.54.0-rc0 bis vor 2.54.1
• Git 2.55.0-rc0 bis vor 2.55.1
• Git 2.56.0-rc0 bis vor 2.56.1
• GitLab 16.2 bis vor 19.3.8, 19.4 vor 19.4.6, 19.5 vor 19.5.4

Behoben in

• Git 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1, 2.56.1 oder neuer
• GitLab 19.3.8, 19.4.6, 19.5.4 oder neuer
• Distributionspakete: Unbekannt; Status im Security-Tracker der Distribution prüfen

Umgehung

• Selbst betriebene Server: conflict-marker-size=7 in info/attributes jedes Repositorys eintragen; dies überschreibt .gitattributes im Repository
• Alternativ serverseitige Mergeability-Prüfungen für nicht vertrauenswürdige Repositorys deaktivieren
• Clients: keine nicht vertrauenswürdigen Repositorys oder Branches mergen; .gitattributes auf grosse Werte für conflict-marker-size prüfen

Ausnutzung

• Nicht bekannt, dass die Schwachstelle in freier Wildbahn ausgenutzt wird.
• Zum Zeitpunkt der Erstellung ist kein öffentlicher Exploit-Code bekannt.

Unsere Empfehlung

• Alle Git-Installationen erfassen, einschliesslich mitgelieferter Git-Versionen in selbst betriebenen Forges, CI-Images und Arbeitsstationen.
• Git auf eine korrigierte Version aktualisieren; gehostete Dienste wie GitHub und GitLab.com sind durch den Anbieter bereits gepatcht.
• Selbst betriebene Server, die nicht sofort gepatcht werden können, mit der info/attributes-Massnahme absichern.
• Versionsnummern mit der Upstream-Advisory GHSA-vp2w-7xxj-jvxr und dem Tracker der Distribution prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  googlesky/CVE-2026-105437

Quellen der Recherche

• CVE Record CVE-2026-105437 www.cve.org
• GitLab issue 814: Heap buffer overflow in xdiff three-way merge gitlab.com
• GitLab issue 632121 gitlab.com
• HackerOne report 4044249 hackerone.com
• GitLab patch release 19.5.4 docs.gitlab.com
• The Hacker News: Git patches flaw thehackernews.com
• Git for Windows releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:14.