CVE-2026-53583
Təsvir
libgit2, tətbiqinize Git funksionallığını əlavə etməyə imkan verən, möhkəm API ilə təmin edilmiş və link edilə bilən kitabxana şəklində təqdim olunan Git nüvə metodlarının portativ C implementasiyasıdır. 1.8.6 və 1.9.5 versiyalarından əvvəl, src/libgit2/streams/openssl.c faylındakı verify_server_cert funksiyası, IP-literal hostu sertifikatın IP SubjectAltName dəyəri ilə müqayisə edərkən GEN_IPADD budağında tərs !!memcmp nəticəsindən istifadə edir. OpenSSL build-ləri uyğun gələn IP ünvanlarını rədd edir və uyğun olmayan IP ünvanlarını qəbul edir ki, bu da hər hansı bir IP SubjectAltName ehtiva edən CA tərəfindən etibar edilmiş sertifikata malik şəbəkə hücumçusuna IP-literal HTTPS URL-lərinə olan libgit2 bağlantılarını ələ keçirməyə imkan verir. DNS SubjectAltName validasiyası və OpenSSL olmayan TLS backend-ləri bundan təsirlənmir. Bu problem 1.8.6 və 1.9.5 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| libgit2 libgit2 | < 1.8.6, >= 1.9.0, < 1.9.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.