CVE-2026-47191

kas, bitbake əsaslı layihələr üçün quraşdırma alətidir. Versiya 5.3-dən əvvəl, repozitoriyanın checkout prosesinin, onun commit ID-si kas konfiqurasiyasına əlavə edilərkən təsdiqlənmiş vəziyyətlə eyni olub-olmadığını müəyyən etmək üçün yalnız git commit ID-sinə (SHA-1 və ya SHA-256) etibar edildikdə, istifadəçilər həmin repozitoriyadan eyni adlı budağın (branch) seçilməsinə dair aldadıla bilərlər. Bu, istinad edilən repozitoriyanın hücumçu tərəfindən ələ keçirildiyi və belə bir budaq yaratmaq üçün dəyişdirildiyi anlamına gəlir. SHA-1 commit-ləri həmçinin heş toqquşmaları yaradılmaqla əvəz edilə bilər, buna görə də bu problemin əsas təsiri SHA-256 commit ID-lərinə yönəlmişdir. Versiya 5.3 bu problemi aradan qaldırır. Müvəqqəti həll yolu kimi, bədniyyətli üçüncü tərəfin nəzarətinə keçə biləcək repozitoriyanın bütövlüyünün yoxlanılması üçün yalnız commit ID-sinə etibar etməkdən qaçının. Mümkünsə, kriptoqrafik imzalanmış commit-ləri və ya teqləri əlavə olaraq təsdiqləyin. Alternativ olaraq, repozitoriyanı təhlükəsiz yerə güzgüleyin (mirror), onun bütövlüyünü yoxlayın və orijinalı əvəzinə bundan istifadə edin.