¿Clonas un proyecto con submódulos? Vulnerabilidad en Git podía dar a código ajeno acceso directo a tu PC

Una fusión de ramas habitual puede convertirse en un punto de entrada al servidor GitLab. La empresa confirmó que la vulnerabilidad CVE-2026-105437 en Git, en determinadas condiciones, permite ejecutar comandos ajenos en el entorno de Gitaly. El fallo forma parte de un paquete de seis problemas para los que se publicaron correcciones el 10 de noviembre. GitLab valora la amenaza como crítica.

La causa radica en el cálculo de memoria para el resultado de la fusión. Un atacante puede establecer un tamaño enorme de los marcadores de conflicto en el archivo .gitattributes y crear varios cambios en conflicto. Un desbordamiento de enteros hará que Git asigne un búfer demasiado pequeño y escriba datos fuera de sus límites. La comprobación del servidor de la solicitud de fusión puede desencadenar la operación vulnerable.

Están en riesgo las instalaciones autohospedadas de GitLab CE y EE desde la versión 16.2. Los parches se incluyeron en GitLab 19.3.8, 19.4.6 y 19.5.4; GitLab.com y GitLab Dedicated en la nube ya están protegidos. Las compilaciones desde el código fuente requieren actualizar por separado el Git incorporado en Gitaly. Amazon Linux asignó a CVE-2026-105437 una puntuación de 7,5 según CVSS 3.1, aunque GitLab califica el problema como crítico.

Otra vulnerabilidad, CVE-2026-111760, permite ejecutar código en la máquina al clonar recursivamente un repositorio especialmente diseñado. Los desarrolladores de Git explicaron que, debido al recorte de la longitud de una ruta muy larga, la comprobación omite un nombre peligroso. A continuación, el atacante puede reemplazar el archivo .git del submódulo por un enlace simbólico a un directorio con configuraciones o ganchos maliciosos.

Para este tipo de ataque, según el boletín de Git, se requiere un clon recursivo con --recurse-submodules y un repositorio controlado por el atacante. GitHub asignó a la vulnerabilidad 8,0 en la puntuación CVSS 3.1, mientras que Amazon Linux la sitúa en 8,8. Un fallo similar al procesar submódulos de Git ya se corrigió en 2024. Para el clon normal sin submódulos, este método aún no está confirmado.

CVE-2026-113408 permite que un servidor sustituya el HEAD de un repositorio vacío al clonar por el protocolo v2. Con el almacenamiento basado en archivos de referencias, una actualización posterior de la rama puede escribir un archivo fuera del directorio previsto. CVE-2026-114467 corrompe la pila al fusionar una etiqueta con tres o más firmas GPG, y CVE-2026-114469 provoca un fallo al descomprimir un parche binario demasiado grande. Amazon Linux valoró los problemas con 6,5, 6,5 y 5,5 en la puntuación CVSS 3.1, respectivamente.

El último fallo, CVE-2026-114466, afecta a git fast-import. Algunas funciones permitían leer archivos ajenos, crear nuevos o anexar a los existentes. Ahora las opciones peligrosas están prohibidas sin permiso explícito. A diferencia de la vulnerabilidad de abril reportada por GitHub, los fallos actuales están en el propio Git y afectan a programas con Git incorporado en Windows, macOS y Linux. Amazon Linux valoró el último fallo con 4,4 en la puntuación CVSS.

Las correcciones para Git se publicaron en las versiones 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2, así como en Git for Windows. GitHub actualizó los servicios en la nube y publicó Enterprise Server 3.19.15, 3.20.11, 3.21.9 y 3.22.4. Los parches para Desktop, Copilot, Codespaces y Actions aún están en preparación. Debian y Amazon Linux todavía registran paquetes no protegidos. Los desarrolladores no han informado de ataques confirmados.