「Git for Windows」v2.56.1が公開 ～6件の脆弱性を修正、任意コード実行のおそれも

「Git for Windows」v2.56.1が公開

　分散型バージョン管理システム「Git」のWindows版「Git for Windows」が11月11日（日本時間）、v2.56.1へとアップデートされた。ベースとなる「Git」に見つかった6件の脆弱性に対処したセキュリティアップデートとなっている。

• CVE-2026-111760：再帰クローンでのリモートコード実行
• CVE-2026-113408：サーバーが通知するHEADを介したパストラバーサル
• CVE-2026-114467：署名の除去処理でのスタック破損
• CVE-2026-114469：バイナリパッチ適用時の境界外読み取り
• CVE-2026-105437：大規模なマージでのヒープ破損
• CVE-2026-114466：「fast-import」ストリームを介したファイルシステムへのアクセス

　なかでも注意したいのは「CVE-2026-111760」だ。インデックス処理における整数の切り捨てを悪用し、サブモジュールの「.git」ファイルを、悪意のある設定やフックを含むディレクトリへのシンボリックリンクに置き換えることが可能で、細工されたリポジトリを再帰的にクローンすると、攻撃者が用意したコードが実行されるおそれがある。深刻度は「High」、CVSS基本値は「8.0」と評価されている。

　そのほかにも、マージ処理でのメモリ破損、バイナリパッチ適用時の境界外読み取りによるクラッシュ、空のリポジトリのクローン時に受け取った不正なHEAD情報により、その後の参照更新で意図しないファイルへ書き込まれる問題なども修正された。

　これらの修正は「Git」v2.56.1に含まれており、v2.55.1、v2.54.1、v2.53.1、v2.52.1、v2.51.3、v2.50.2にもバックポートされている。すぐに更新できない場合は、信頼できるサーバーからのみクローンし、信頼できないリポジトリの再帰クローン、信頼できないコンテンツ・タグのマージ、信頼できない提供元のバイナリパッチ・fast-importストリームの処理は避けることが推奨されている。

　「Git for Windows」はWindows 10以降に対応しており、現在「GitHub」のリリースページや公式サイト「git-scm.com」から無償でダウンロードできる。