Git – Unsichere Hook-Ausführung bei Archiven aus nicht vertrauenswürdigen Quellen

Beschreibung

Git schützt beim Klonen lokaler Repositories aus nicht vertrauenswürdigen Quellen normalerweise vor der Ausführung von Hooks, wie in CVE-2024-32004 behandelt. Diese Schutzmassnahmen greifen jedoch nicht in allen Fällen: Wird beispielsweise eine ZIP-Datei mit einer vollständigen Kopie eines Repositories aus einer nicht vertrauenswürdigen Quelle bezogen, sollte diese nicht standardmässig als sicher gelten, da darin konfigurierte Hooks im Kontext dieses Repositories ausgeführt werden können. Empfohlene Massnahme: Update auf Version 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 oder 2.39.4; als Workaround sollte Git nicht in Repositories verwendet werden, die aus Archiven nicht vertrauenswürdiger Quellen stammen. CVSS-Basiswert: 7.3 (Hoch).

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Git

• Gitea Code Injection Vulnerability KEV CVE-2026-60004
• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apple Multiple Products – Integer Overflow oder Wraparound KEV CVE-2021-30952
• Roundcube Webmail – Deserialisierung nicht vertrauenswürdiger Daten KEV CVE-2025-49113
• GNU InetUtils Argument Injection Vulnerability KEV CVE-2026-24061