GitPython: Beliebiges Lesen von Dateien über Branch-Name in Head.checkout()
Zusammenfassung
GitPython vor Version 3.2.0 übergibt den Branch-Namen eines geklonten Repositorys ohne Argument-Trennzeichen an git checkout, sodass ein mit einer Option beginnender Branch-Name als Git-Option interpretiert wird. Ein entfernter Angreifer kann ein Repository mit einem präparierten Default-Branch-Namen, zum Beispiel --pathspec-from-file=<Pfad>, bereitstellen. Wenn eine Anwendung dieses Repository klont und auf dem aktiven Branch Head.checkout() aufruft, kann der Angreifer den Inhalt von Dateien lesen, die der Prozess der Anwendung lesen darf. Die Daten erscheinen in GitCommandError-Meldungen, auf Seite des Opfers ist kein Konto und keine besondere Konfiguration nötig.
Betroffen
- GitPython vor Version 3.2.0 (laut GHSA sind Versionen <= 3.1.62 betroffen)
- Getestet mit GitPython 3.1.62 und git 2.55.0
- Betroffener Code: Head.checkout() in git/refs/head.py
Behoben in
- Behoben in GitPython 3.2.0 (gemäss GitHub Security Advisory)
- Eine neuere Version, 3.2.1, wird in Drittquellen erwähnt; dies wurde nicht anhand einer primären Release-Seite verifiziert
Umgehung
- Es ist keine offizielle Workaround veröffentlicht; das Advisory nennt nur das Update.
- Übergangsmassnahme (keine Herstellerangabe): Repositorys aus nicht vertrauenswürdigen Quellen nicht klonen oder auschecken und active_branch.checkout() bei solchen Repositorys nicht aufrufen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: ja, technische Auswirkung: teilweise.
- Das Advisory beschreibt eine Reproduktion; es wurde kein öffentliches Exploit-Repository oder Write-up gefunden.
- Der EPSS-Wert beträgt 0.00387.
Unsere Empfehlung
- GitPython auf Version 3.2.0 oder neuer aktualisieren (3.2.1 oder neuer wird empfohlen).
- Anwendungen und Pipelines identifizieren, die vom Benutzer angegebene Git-URLs klonen und Head.checkout() oder active_branch.checkout() aufrufen.
- Bis zur Behebung in diesen Anwendungen keine nicht vertrauenswürdigen Repositorys klonen.
- Prüfen, ob der Prozess dieser Werkzeuge Geheimnisse oder Konfigurationsdateien lesen kann, die über Fehlermeldungen offengelegt werden könnten.
- Anwendungslogs auf ungewöhnliche GitCommandError-Meldungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-23mf-xhv8-69c2 github.com
- VulnCheck advisory www.vulncheck.com
- OSV entry GHSA-23mf-xhv8-69c2 osv.dev
- GitLab advisory mirror GHSA-23mf-xhv8-69c2 advisories.gitlab.com
- Ubuntu security notice CVE-2026-110859 ubuntu.com
- Mend/Vulners record CVE-2026-110859 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:42.
Referenzen der NVD (3)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.