CVE-2026-34165
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W bibliotece go-git (implementacja gita w czystym Go) w wersjach od 5.0.0 do przed 5.17.1 złośliwie spreparowany plik .idx może powodować asymetryczne zużycie pamięci, prowadząc do wyczerpania dostępnej pamięci i warunku odmowy usługi (DoS). Eksploatacja wymaga zapisu do katalogu .git lokalnego repozytorium w celu utworzenia lub zmodyfikowania plików .idx. Podatność została załatana w wersji 5.17.1.
Ocena ryzyka
Atakujący z dostępem do zapisu w repozytorium może spowodować awarię usługi poprzez wyczerpanie pamięci, co może wpłynąć na dostępność systemu.
Rekomendacja
Należy zaktualizować bibliotekę go-git do wersji 5.17.1 lub nowszej.
Inne podatności w go-git
Zobacz wszystkie- CVE-2026-71557Średnie
go-git to biblioteka implementująca git w czystym Go. Przed wersjami 5.19.2 i 6.0.0-alpha.5 nazwy referencji nie są sanityzowane przed użyciem do konstruowania ścieżek na dysku w katalogu przechowywania referencji, więc złośliwie spreparowana nazwa referencji (np. zawierająca sekwencje przechodzenia do katalogów) może spowodować zapis plików poza zamierzonym katalogiem. Wersje 5.19.2 i 6.0.0-alpha.5 naprawiają problem.
- CVE-2026-71556Wysokie
go-git przed wersjami 5.19.2 i 6.0.0-alpha.5 ma podatność, w której operacje na drzewie roboczym (checkout, status, add) rozwiązują dowiązania symboliczne bez ograniczania do granic drzewa roboczego. Złośliwie przygotowane repozytorium z dowiązaniem symbolicznym może spowodować odczyt lub zapis plików poza zamierzonym katalogiem roboczym.
- CVE-2026-33762Niskie
go-git to biblioteka implementująca Git w czystym Go. Przed wersją 5.17.1 dekoder indeksu dla formatu wersji 4 nie sprawdza poprawności długości prefiksu ścieżki przed zastosowaniem go do wcześniej zdekodowanej ścieżki. Złośliwie spreparowany plik indeksu może wywołać operację poza zakresem, prowadząc do paniki w czasie wykonywania podczas normalnego parsowania indeksu. Problem dotyczy tylko formatu indeksu Git w wersji 4; wcześniejsze formaty (v2 i v3) nie są podatne.
Oryginalny opis (angielski, źródło NVD)
go-git is an extensible git implementation library written in pure Go. From version 5.0.0 to before version 5.17.1, a vulnerability has been identified in which a maliciously crafted .idx file can cause asymmetric memory consumption, potentially exhausting available memory and resulting in a denial-of-service (DoS) condition. Exploitation requires write access to the local repository's .git directory, it order to create or alter existing .idx files. This issue has been patched in version 5.17.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS