CVE-2026-47734

Dulwich, Git fayl formatlarının və protokollarının təmiz Python implementasiyasıdır. Versiya 0.1.0-dan başlayaraq versiya 1.2.5-ə qədər olan versiyalarda, push girişinə malik müştəri, delta başlığı böyük bir dest_size bəyan edən kiçik, xüsusi hazırlanmış thin pack (~174 bayt) göndərə bilərdi. Dulwich bunu add_thin_pack / apply_delta vasitəsilə emal etdikdə, alınan faktiki baytlardan asılı olmayaraq, hücumçu tərəfindən idarə olunan həmin ölçü əsasında yüzlərlə MB yaddaş ayırırdı. git-receive-pack funksiyasını təqdim edən (yəni push-ları qəbul edən) Dulwich əsaslı Git serverini işlədən operatorlar — məsələn, dulwich.server funksionallığı, HTTP smart server və ya ReceivePackHandler üzərində qurulmuş hər hansı sistem vasitəsilə — bu problemdən təsirlənir. Problem 1.2.5 versiyasında aradan qaldırılmışdır. Artıq add_thin_pack max_input_size açar sözünü (baytlarla; 0/None = limitsiz, git semantikasınə uyğun olaraq) qəbul edir və ReceivePackHandler repozitoriyanın konfiqurasiyasından receive.maxInputSize dəyərini oxuyub ötürür. Şəbəkə oxumaları sayılır və limit aşildığında PackInputTooLarge istisnası yaradılır — bu, git index-pack --max-input-size əmrinə ekvivalentdir. İstifadəçilər Dulwich 1.2.5 və ya daha yeni versiyaya yüksəltməli və serverin repozitoriya konfiqurasiyasında receive.maxInputSize parametrini öz mühitləri üçün ağlabatan bir limitə təyin etməlidirlər. Yamaqlanmamış versiyalarda receive.maxInputSize heç bir təsir göstərmir, buna görə də ondan alternativ həll yolu kimi istifadə edilə bilməz. Yüksəltməyə qədər operatorlar dulwich-receive-pack (push) girişini yalnız etibarlı, autentifikasiya olunmuş müştərilərlə məhdudlaşdırmalı və ya yalnız fetch xidməti təqdim etməsi lazım olan serverlərdə onu tamamilə söndürməli, yaxud zərərli push-un bütün hostu sıradan çıxarmaması üçün serveri ƏS səviyyəsində yaddaş limiti altında (məsələn, ulimit, cgroups/MemoryMax və ya konteyner yaddaş limiti) işlətməlidirlər.