10 ноября 2026 года проект Git объявил исправления шести уязвимостей. Они включены в Git 2.56.1 и корректирующие выпуски более ранних веток. Mentoring.digital объясняет, какие копии Git нужно учесть разработчику и владельцу CI.
Чем опасно рекурсивное клонирование
Уязвимость CVE-2026-111760 связана с обработкой путей при клонировании репозитория с подмодулями. Специально подготовленный внешний репозиторий может привести к использованию вредоносной конфигурации или hooks и выполнению кода. В описании риска отдельно выделен рекурсивный clone.
Получение незнакомого учебного проекта или тестового задания поэтому тоже требует внимания к источнику и используемой версии инструмента. До установки исправлений стоит избегать рекурсивного клонирования недоверенных репозиториев. Такая мера ограничивает один сценарий, но не заменяет обновление.
Какие версии содержат исправления
Помимо 2.56.1, выпущены Git 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 и 2.50.2. Остальные исправления касаются обработки ссылок, слияний, бинарных патчей и потоков fast-import. Проблемы различаются по условиям, поэтому успешный обычный clone не проверяет весь набор исправлений.
Используйте исправленный пакет своей поддерживаемой ветки и сведения его поставщика. Не нужно переносить непроверенные номера пакетов между дистрибутивами: состав исправлений и обозначение сборки следует сверять в своём канале обновлений.
Где искать отдельные копии Git
Обновление команды в пользовательском терминале может не затронуть контейнер CI, сервис обработки репозиториев или приложение со встроенным Git. Для каждого такого места нужно определить исполняемый файл, версию и источник обновления.
Редакционная рекомендация: составить короткий список этих окружений, обновить их штатным способом и проверить принятый рабочий сценарий с подмодулями на доверенном репозитории. Отдельно сохранить сведения об установленном пакете. Не используйте вредоносный репозиторий для проверки рабочего компьютера или production.
Устройство веток, слияний и подмодулей можно освоить на курсах Git с практическими заданиями. Проверить принятый в команде порядок работы с репозиториями поможет наставник по Git.
