CVE-2014-9706
WysokieStreszczenie
Funkcja build_index_from_tree w pliku index.py w Dulwich przed wersją 0.9.9 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez commit z ścieżką katalogu zaczynającą się od .git/, co nie jest prawidłowo obsługiwane podczas wypisywania drzewa roboczego.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się aktualizację do wersji Dulwich 0.9.9 lub nowszej, aby usunąć tę podatność.
Inne podatności w Dulwich
Zobacz wszystkie- CVE-2015-0838Wysokie
Przepełnienie bufora w funkcji apply_delta w implementacji C w pliku _pack.c w Dulwich przed wersją 0.9.9 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego pliku pakietu.
- CVE-2017-16228Krytyczne
Dulwich przed wersją 0.18.5, przy użyciu podprocesu SSH, pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez URL SSH z początkowym znakiem minus w nazwie hosta.
- CVE-2026-38974Średnie
W bibliotece Dulwich w wersji do 1.1.0 w pliku contrib/paramiko_vendor.py brakuje weryfikacji klucza hosta SSH. Oznacza to, że podczas połączeń SSH nie jest sprawdzane, czy klucz publiczny serwera jest zaufany.
- CVE-2026-52726Wysokie
Dulwich w wersjach od 0.23.2 do 1.2.5 nie waliduje ścieżek submodułów podczas klonowania z rekurencją. Atakujący może umieścić złośliwy plik .gitmodules i drzewo gitlink ze ścieżką .git/hooks, co prowadzi do zapisu plików do katalogu .git/hooks ofiary. Wykonywalne pliki są następnie uruchamiane przy każdym wywołaniu haka, co umożliwia zdalne wykonanie kodu.
- CVE-2026-47734Średnie
Podatność w bibliotece Dulwich (wersje 0.1.0 do 1.2.4) pozwala klientowi z dostępem do pusha na wysłanie spreparowanego, małego pakietu (ok. 174 bajtów), który deklaruje ogromny rozmiar w nagłówku delty. Podczas przetwarzania przez funkcję add_thin_pack/apply_delta dochodzi do alokacji setek MB pamięci, co może prowadzić do wyczerpania zasobów serwera.
- CVE-2026-47712Niskie
Podatność w bibliotece Dulwich (wersje 0.24.0 do 1.2.4) pozwala na zapis pliku łatki poza zamierzonym katalogiem poprzez złośliwy temat commita. Funkcja format_patch używa tematu commita do utworzenia nazwy pliku, a brak sanityzacji znaków takich jak /, \, .. czy : umożliwia ścieżkę traversal.
- CVE-2026-42563Wysokie
Podatność w bibliotece Dulwich (wersje od 0.24.0 do 1.2.4) pozwala na zdalne wykonanie dowolnego kodu. Atakujący może umieścić złośliwą ścieżkę pliku w gałęzi GIT, która po scaleniu przez ofiarę jest wstawiana do polecenia scalającego przez symbol zastępczy %P i wykonywana z użyciem shell=True.
- CVE-2026-42305Wysokie
Podatność w bibliotece Dulwich (wersje 0.10.0 do 1.2.4) umożliwia zdalne wykonanie kodu poprzez dowolny zapis pliku podczas klonowania lub pobierania złośliwego repozytorium Git na systemie Windows. Problem wynika z nieprawidłowej walidacji nazw plików w elementach ścieżki, które mogą zawierać znaki interpretowane przez Windows jako strukturalna składnia ścieżki. Dodatkowo, ustawienia zabezpieczeń core.protectNTFS i core.protectHFS były ignorowane z powodu błędów konfiguracji.
Oryginalny opis (angielski, źródło NVD)
The build_index_from_tree function in index.py in Dulwich before 0.9.9 allows remote attackers to execute arbitrary code via a commit with a directory path starting with .git/, which is not properly handled when checking out a working tree.