Git vá 6 lỗ hổng bảo mật nghiêm trọng cho phép thực thi mã từ xa

• Cảnh báo lỗ hổng: Git đã phát hành bản vá cho 6 lỗ hổng bảo mật, trong đó có CVE-2026-111760 với điểm CVSS 8.0.
• Cơ chế tấn công: Kẻ tấn công có thể lợi dụng các kho lưu trữ độc hại để thực thi mã tùy ý thông qua tính năng đệ quy (recursive cloning) hoặc thao túng tệp tin.
• Khuyến nghị: Người dùng và quản trị viên hệ thống cần cập nhật ngay lên phiên bản Git 2.56.1 hoặc các phiên bản tương ứng đã được backport.

Dự án Git vừa chính thức công bố bản cập nhật bảo mật quan trọng vào ngày 10 tháng 11 năm 2026, nhằm khắc phục 6 lỗ hổng bảo mật đang tồn tại trong hệ thống quản lý phiên bản phổ biến này. Các lỗ hổng này bao gồm các lỗi nghiêm trọng cho phép thực thi mã từ xa (RCE), hỏng bộ nhớ (memory corruption) và ghi tệp tin không an toàn trong quá trình merge hoặc patch.

Chi tiết các lỗ hổng bảo mật trong Git

Các lỗ hổng này ảnh hưởng đến nhiều phiên bản Git khác nhau. Bản vá đã được tích hợp trong phiên bản Git 2.56.1 và được backport cho các dòng 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 và 2.50.2. Dưới đây là bảng tổng hợp các mã CVE liên quan:

Phân tích lỗ hổng nghiêm trọng CVE-2026-111760

Lỗ hổng CVE-2026-111760 được đánh giá là nguy hiểm nhất với điểm CVSS 8.0. Vấn đề xuất phát từ lỗi cắt cụt số nguyên (integer truncation) trong mã xử lý chỉ mục (index code). Thông thường, Git kiểm tra đường dẫn tệp tin trước khi ghi để ngăn chặn việc ghi đè dữ liệu kho lưu trữ. Tuy nhiên, kẻ tấn công có thể sử dụng đường dẫn cực dài để vượt qua kiểm tra này, sau đó ghi tệp tin dưới một tên ngắn hơn.

Kỹ thuật này cho phép kẻ tấn công thay thế tệp .git của một submodule bằng một liên kết tượng trưng (symbolic link). Liên kết này trỏ đến một thư mục chứa các cấu hình hoặc hook độc hại. Khi Git thực thi các hook này, mã độc của kẻ tấn công sẽ được kích hoạt. Lỗ hổng này thường yêu cầu tùy chọn --recurse-submodules để kích hoạt thành công.

Các lỗ hổng khác và cơ chế khai thác

Ngoài lỗ hổng RCE chính, các lỗi còn lại cũng tiềm ẩn rủi ro cao cho môi trường phát triển:

• CVE-2026-113408: Ảnh hưởng đến giao thức v2 khi clone kho lưu trữ trống. Kẻ tấn công có thể quảng bá con trỏ HEAD với các ký tự path-traversal, cho phép ghi tệp tin ngoài thư mục tham chiếu dự kiến.
• CVE-2026-114467: Lỗi tràn bộ nhớ stack xảy ra khi Git xử lý chữ ký GPG. Việc tạo một tag với số lượng chữ ký vượt quá giới hạn mảng cố định có thể dẫn đến crash hoặc hỏng bộ nhớ.
• CVE-2026-114469: Lỗi liên quan đến patch nhị phân. Git không kiểm tra kích thước giải nén của patch, cho phép các patch nhỏ được chế tạo đặc biệt mở rộng vượt quá giới hạn 1 GiB, gây ra lỗi đọc ngoài phạm vi.

Hướng dẫn phòng thủ và giảm thiểu rủi ro

Các nhà nghiên cứu bảo mật khuyến cáo người dùng cần cập nhật phần mềm ngay lập tức. Đối với các tổ chức sử dụng GitHub Enterprise Server, quản trị viên cần cài đặt các phiên bản vá lỗi tương ứng như 3.19.15, 3.20.11, 3.21.9 hoặc 3.22.4. Bạn có thể tham khảo thêm thông tin chi tiết tại National Vulnerability Database.

⚠️ Cảnh báo quan trọng: Nếu chưa thể cập nhật ngay, hãy tuân thủ các biện pháp giảm thiểu sau:

• Chỉ clone kho lưu trữ từ các nguồn tin cậy.
• Tránh sử dụng tùy chọn --recurse-submodules với các kho lưu trữ không xác định.
• Không thực hiện merge các tag hoặc nội dung từ nguồn không tin cậy.
• Hạn chế xử lý các patch nhị phân hoặc luồng fast-import từ bên ngoài.

Việc kiểm tra các máy chủ build và công cụ tự động hóa là vô cùng cần thiết, vì đây thường là các điểm mù bảo mật nơi mã độc có thể được thực thi mà không có sự giám sát của con người. Các cuộc tấn công sử dụng kỹ thuật symlink tương tự đã từng được ghi nhận trong các chiến dịch của nhóm APT như Lazarus, cho thấy tốc độ khai thác các lỗ hổng Git đang ngày càng gia tăng.