CVE-2026-5917
Açıklama
libssh2 SSH arka ucuyla (USE_SSH=libssh2) derlenen 1.8.7 öncesi ve 1.9.0 ile 1.9.7 arası libgit2 sürümleri, tek tırnak, noktalı virgül veya boru hattı gibi kaçış karakterleri uygulanmamış kabuk meta karakterleri içeren bir depo yolu sağlanarak uzaktaki saldırganların bir SSH sunucusunda rastgele komutlar yürütmesine olanak tanıyan bir kabuk komutu enjeksiyonu zafiyeti içermektedir. ssh_libssh2.c dosyasındaki gen_proto() fonksiyonu, depo yolunu özel karakterleri temizlemeden doğrudan bir kabuk komutu dizisine ekleyip libssh2_channel_exec() fonksiyonuna iletmektedir; bu durum, bir saldırganın .gitmodules dosyası içinde kötü amaçlı bir alt modül URL'si oluşturmasına ve özyinelemeli klonlama sırasında işlendiğinde uzak sunucunun kabuğunun, enjekte edilen komutları mağdurun SSH kullanıcı hesabı altında yorumlamasına neden olmaktadır.
Nasıl düzeltilir
- libgit2 libgit21.8.7, 1.9.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| libgit2 libgit2 | v < 1.8.7, 1.9.0 ≤ v < 1.9.7 | 1.8.7, 1.9.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.