Sebuah kerentanan berbahaya di dalam sistem Git memungkinkan repositori jahat menjalankan kode asing pada perangkat komputer target yang melakukan proses kloning secara rekursif, bersamaan dengan seluruh submodulnya. Proyek Git merilis pembaruan keamanan pekan ini pada Git versi 2.56.1, disertai serangkaian perbaikan serupa untuk versi 2.50 hingga 2.55, yang mencakup varian 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, dan 2.55.1.
Kelemahan sistem yang dilacak sebagai CVE-2026-111760 tersebut merupakan masalah pemotongan bilangan bulat (integer truncation) ketika Git memproses indeks internalnya. Jalur berkas atau path yang sangat panjang dalam suatu repositori dapat lolos dari pemeriksaan validitas Git, lalu ditulis ke media penyimpanan dengan nama yang terpotong dan sengaja dimanipulasi peretas menjadi berkas .git.
Metode manipulasi ini membuka peluang bagi pelaku ancaman untuk menukar berkas .git pada submodul dengan symbolic link menuju direktori lain yang memuat skrip hook atau berkas konfigurasi berbahaya. Mengingat hook adalah program yang dijalankan Git pada tahapan tertentu, eksekusi kode penyerang akan langsung terpicu seketika sistem membaca serta menjalankan folder yang telah disusupi tersebut.
Peran submodul sangat krusial dalam skenario serangan ini, sebab Git secara bawaan melarang penggantian folder .git menggunakan tautan simbolis, sedangkan pada submodul yang baru saja dikloning, objek .git tersebut masih berwujud berkas biasa.
Versi pembaruan resmi yang tercantum di pengumuman rilis proyek Git kini memblokir jalur yang terlalu panjang tersebut sebelum ukurannya terpotong.
GitHub, platform penyedia Git pada berbagai produk layanannya, memaparkan analisis tambalan ini melalui ulasan komprehensif. Mereka mengimbau pengguna segera memasang versi perbaikan resmi dari sistem operasi atau distributor perangkat lunak, sekaligus memperbarui seluruh aplikasi internal yang membawa salinan Git mandiri.
Layanan github.com dan GitHub Enterprise Cloud telah menerapkan mitigasi keamanan tersebut secara langsung. Sementara itu, untuk varian GitHub Enterprise Server, perbaikan telah dihadirkan pada versi 3.19.15, 3.20.11, 3.21.9, serta 3.22.4.
Pembaruan untuk GitHub Desktop beserta aplikasi GitHub Copilot sedang dalam tahap persiapan matang. Lingkungan kerja GitHub Codespaces dan GitHub Actions juga akan segera diperbarui dengan Git versi terbaru tersebut.
Berdasarkan penelusuran label rilis oleh The Hacker News, Git for Windows terpantau belum menyediakan pembaruan berbasis Git 2.56.1 hingga Selasa pada pukul 19:09 UTC.
Sebelum pembaruan dipasang, GitHub menyarankan langkah pencegahan sementara yang tidak menggantikan peran tambalan utama:
Pembaruan dari Git ini turut membenahi lima kerentanan keamanan tambahan lainnya:
Pihak GitLab, penemu CVE-2026-105437, mengungkapkan bahwa peladen hosting kode adalah sasaran utama eksploitasi perintah git merge-tree. Perintah tersebut kerap dijalankan otomatis oleh sistem peladen untuk memverifikasi kelayakan penggabungan pull request atau merge request.
Atribut conflict-marker-size dapat disisipkan lewat berkas .gitattributes dalam repositori. Bila peladen memproses atribut repositori, pihak mana pun yang memiliki izin mendorong branch dan mengirim permohonan penggabungan bisa mengeksploitasi bug tersebut.
Sebagai solusi alternatif bagi peladen yang belum dapat memperbarui sistem, administrator disarankan menambahkan aturan conflict-marker-size=7 ke berkas info/attributes masing-masing repositori, atau mematikan fitur pengecekan otomatis merge pada repositori yang tidak tepercaya.
About the Author
