CVE-2026-42305

Dulwich, Git dosya formatlarının ve protokollerinin saf Python ile uygulanmış bir versiyonudur. 0.10.0 sürümüyle başlayan ve 1.2.5 öncesindeki sürümler, Windows üzerinde kötü amaçlı bir Git deposu klonlandığında veya checkout işlemi yapıldığında uzaktan kod çalıştırmaya yol açan rastgele dosya yazma zafiyetine sahiptir. Dulwich'in yol öğesi doğrulayıcısı, dosya adları Windows tarafından yapısal yol sözdizimi olarak yorumlanan baytlar içeren ağaç girişlerini kabul ediyordu. Yapılandırma hataları durumu daha da kötüleştirmiştir. core.protectNTFS ve core.protectHFS ayarları yanlış bir seçenek adı altında aranıyordu ve bu nedenle kullanıcı tarafından ayarlanan değerler sessizce yoksayılıyordu; ayrıca core.protectNTFS yalnızca Windows'ta varsayılan olarak true değerini alıyordu (Git ana hattı, CVE-2019-1353'ten beri bunu her yerde varsayılan olarak true yapmıştır). Her iki sorun da düzeltilmiştir. Windows üzerinde Dulwich kullanarak —ister Dulwich CLI, porcelain.clone veya Dulwich üzerine inşa edilmiş herhangi bir alt araç aracılığıyla olsun— güvenilmeyen bir depoyu klonlayan, fetch yapan veya checkout işlemi gerçekleştiren herkes etkilenmektedir. POSIX klonlamaları doğrudan istismar edilemez (POSIX'te \ karakteri gerçek bir dosya adı baytıdır), ancak bir POSIX kullanıcısı farkında olmadan kötü amaçlı bir ağacı push veya yeniden yayınlama yoluyla Windows kullanıcılarına yayabilir. Bu sorun Dulwich 1.2.5 sürümünde giderilmiştir. Kullanıcıların 1.2.5 veya daha yeni bir sürüme yükseltme yapmaları önerilir. Yama öncesi etkili bir geçici çözüm bulunmamaktadır. Etkilenen sürümlerde core.protectNTFS yapılandırma anahtarı sessizce yoksayılıyordu, bu nedenle bunu true olarak ayarlamak sorunu gidermez. Yükseltme yapamayan kullanıcılar, Windows üzerinde Dulwich ile güvenilmeyen depoları klonlamaktan, fetch yapmaktan veya checkout işleminden kaçınmalıdır. Yükseltme sonrası NTFS doğrulayıcısı her platformda varsayılan olarak açıktır, dolayısıyla ek bir yapılandırma gerekmemektedir.