Git-Sicherheitsupdate: Auch CI-Runner müssen gepatcht werden

Am 10. November veröffentlichte das Git-Projekt Korrekturen für sechs Schwachstellen. Eine kann beim rekursiven Klonen eines bösartigen Repositorys Codeausführung ermöglichen. Betroffen ist Git selbst: Zum Inventar gehören Entwicklerrechner, CI-Runner und Anwendungen mit eigener Git-Kopie.

Was das Release behebt

GitHubs Ankündigung nennt CVE-2026-111760 bei rekursiven Klonen und CVE-2026-113408 beim von einem Server angekündigten HEAD. Weitere Fehler betreffen Merges signierter Tags, binäre Patches, große Merges und fast-import-Datenströme. Ihre Auswirkungen unterscheiden sich; nicht jeder Fehler erlaubt entfernte Codeausführung.

Installieren Sie Git 2.56.1 oder die korrigierte Version Ihres Wartungszweigs: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 oder 2.50.2. Prüfen Sie Hinweise und Backports Ihres Anbieters und aktualisieren Sie Anwendungen mit gebündeltem Git.

Praktische Schritte

1. Erfassen Sie Git-Versionen auf Rechnern, in Build-Images, CI-Runnern und Diensten zur Repository-Verarbeitung.
2. Patchen Sie über vertrauenswürdige Anbieter, bauen Sie Images neu und prüfen Sie die tatsächlich laufende Version.
3. Vermeiden Sie bis zum Update rekursive Klone nicht vertrauenswürdiger Repositorys sowie nicht vertrauenswürdige Merges, binäre Patches und fast-import-Streams. Das ersetzt das Update nicht.
4. Legen Sie Verantwortliche fest und verfolgen Sie die Behebung; ein Repository-Scan belegt nicht die Git-Version eines Runners.

Wie Plexicus unterstützt

Plexicus Remediation unterstützt die Nachverfolgung validierter Anwendungssicherheitsbefunde. Dieses Release benötigt zusätzlich einen Infrastruktur-Patchprozess: Ein Anwendungsscan aktualisiert Git nicht automatisch.

Titelbild: Git-Logo von Jason Long, CC BY 3.0; unverändertes Original auf einem redaktionellen Hintergrund.