GitPython: Regulärer Ausdruck führt zu Denial of Service bei Actor-Parsing
Zusammenfassung
GitPython parst Author-, Committer- und Tagger-Zeilen von Commit- und Tag-Objekten mit einem regulären Ausdruck, der quadratisch zurücksetzt (Backtracking), wenn die abschliessende Epoche oder Zeitzone fehlt oder fehlerhaft ist. Ein Angreifer, der eine Anwendung dazu bringt, ein manipuliertes Commit- oder Tag-Objekt aus einem nicht vertrauenswürdigen Repository zu lesen, kann die CPU-Auslastung ausschöpfen, wobei jeder Zugriff auf Commit.author, Commit.committer oder TagObject.tagger mehrere Sekunden dauert. Der Angriff erfordert keine Berechtigungen und keine Benutzerinteraktion, die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- GitPython vor 3.2.0 (laut Herstellerhinweis sind Versionen bis einschliesslich 3.1.62 betroffen)
Behoben in
- Auf GitPython 3.2.0 oder neuer aktualisieren
Umgehung
- Keine Herstellerumgehung bekannt. Unbekannt, ob andere Massnahmen ausser dem Update existieren.
- Übergangsmassnahme: CI-Runner und Scanner nicht Repositories klonen oder prüfen lassen, die nicht vertrauenswürdig sind, bis das Update eingespielt ist.
Ausnutzung
- CISA SSVC: Exploitation-Status poc, automatisierbar ja, technische Auswirkung partiell.
- Nicht in der CISA-KEV-Liste.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Im GitHub-Advisory ist ein öffentlicher Proof of Concept enthalten.
Unsere Empfehlung
- GitPython auf 3.2.0 oder neuer aktualisieren, wo immer es vorhanden ist, einschliesslich transitiver Abhängigkeiten (zum Beispiel über dvc oder scmrepo).
- Lockfiles und Container-Images auf betroffene Versionen prüfen.
- Bis zum Patch die Repositories einschränken, die CI-Pipelines und Scanner verarbeiten.
- CPU-Auslastung von Build-Agenten und Scannern auf ungewöhnliche Last überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-m64x-33q8-m5h7 github.com
- VulnCheck advisory www.vulncheck.com
- OSV GHSA-m64x-33q8-m5h7 osv.dev
- GitLab advisory mirror advisories.gitlab.com
- Ubuntu CVE-2026-110856 ubuntu.com
- OpenCVE CVE-2026-110856 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:43.
Referenzen der NVD (3)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.