GitPython: Remote Code Execution durch Argument Injection in Remote.pull()

Zusammenfassung

GitPython-Versionen ab 3.1.30 bis vor 3.2.0 enthalten eine Schwachstelle in Remote.pull(). Die Prüfung auf unsichere Optionen betrachtet nur Keyword-Argumente, nicht den positionalen Refspec. Ein Angreifer, der den Refspec kontrolliert, kann so --upload-pack=<Befehl> übergeben und Betriebssystembefehle mit den Rechten der aufrufenden Anwendung ausführen. Voraussetzung ist, dass der Pull ein Local-Path- oder SSH-Transportprotokoll nutzt und die Anwendung im Standardpfad vom Angreifer beeinflussbare Eingaben als Refspec übergibt.

Betroffen

• GitPython ab 3.1.30 bis vor 3.2.0
• Anwendungen und Container, die eine verwundbare GitPython-Version enthalten, inklusive transitiver Abhängigkeiten

Behoben in

• Auf GitPython 3.2.0 oder neuer aktualisieren (Herstellerhinweis GHSA-f9j4-qggq-h239)

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Lösung. Der Hersteller empfiehlt das Update.
• Vom Benutzer gelieferte Branch- oder Refspec-Werte nicht an Remote.pull() übergeben. Bis zum Patch gegen eine Allow-Liste validieren (eigene Empfehlung, nicht aus einer Herstellerquelle).

Ausnutzung

-技术 Details sind in der GitHub-Advisory öffentlich verfügbar.

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden. Status im CISA KEV nicht verifiziert.

Unsere Empfehlung

• Python-Umgebungen, Container und Lockfiles auf GitPython prüfen (zum Beispiel mit pip show gitpython).
• Auf GitPython 3.2.0 oder neuer aktualisieren und Container-Images neu erstellen.
• Codepfade identifizieren, die Remote.pull() mit Benutzer- oder externen Eingaben aufrufen, und diese einschränken.
• NVD-Eintrag und GHSA-Seite auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-f9j4-qggq-h239 github.com
• VulnCheck advisory CVE-2026-110858 www.vulncheck.com
• GitPython 3.2.0 release github.com
• OSV GHSA-f9j4-qggq-h239 osv.dev
• GitLab advisory database GHSA-f9j4-qggq-h239 advisories.gitlab.com
• Ubuntu security CVE-2026-110858 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:24.