IT时代网11月11日消息，Git 项目发布新版本，修复了六个安全漏洞，涉及递归克隆恶意仓库时的任意代码执行、向非预期文件写入以及内存越界等问题。
修复已包含在 Git 2.56.1，并回溯到 2.55.1、2.54.1、2.53.1、2.52.1、2.51.3 与 2.50.2 等维护版本。官方建议用户升级到 2.56.1 或对应已修补版本，并更新依赖 Git 的应用程序。
其中一个漏洞源于 Git 索引路径处理中的整数截断：超长路径可绕过长度检查，攻击者可借机把子模块的 .git 文件替换为指向恶意配置或钩子的符号链接，在后续操作中执行攻击代码；新版本会在路径被截断前拒绝超长索引条目。
另一处出现在使用 Git 协议 v2 克隆空仓库时，服务器可广播一个指向尚未创建分支的 HEAD 符号引用，Git 此前未校验其目标，恶意服务器可利用路径穿越写入预期目录之外；新版本在接受前会校验目标及通过协议 v2 收到的其他引用名。
此外，Git 在剥离 GPG 签名时假设签名最多两个，特制消息包含更多签名会导致向固定大小栈数组之外写入。官方提醒使用 Git 的开发者与平台应尽快完成升级。
编辑：周艺
