---
title: "Git 2.56.1 修補六個安全漏洞，遞歸複製惡意儲存庫可執行任意程式碼"
url: https://sammy.hk/git-2-56-1-security-fixes/
author: Ethan
published: 2026-11-11T13:11:00+08:00
modified: 2026-11-11T09:53:41+08:00
description: "Git 專案於 2026 年 11 月 10 日發布修補版本，處理六個安全漏洞，包括遞歸複製惡意儲存庫時可執行任意程式碼、寫入非預期檔案，以及合併與二進位補丁的記憶體損毀。修補納入 Git 2.56.1，並回溯至 2.55.1、2.54.1、2.53.1、2.52.1、2.51.3 及 2.50.2[1]。 遞歸複製與…"
categories: ["開放源碼"]
tags: [Git, "漏洞修補", "資訊安全", "開發工具"]
source: https://sammy.hk
---
Git 專案於 2026 年 11 月 10 日發布修補版本，處理六個安全漏洞，包括遞歸複製惡意儲存庫時可執行任意程式碼、寫入非預期檔案，以及合併與二進位補丁的記憶體損毀。修補納入 Git 2.56.1，並回溯至 2.55.1、2.54.1、2.53.1、2.52.1、2.51.3 及 2.50.2\[1\]。
## 遞歸複製與路徑遍歷
CVE-2026-111760 最嚴重：Git 寫入檔案前會檢查路徑，但索引處理的整數截斷可令極長路徑以一個名稱通過驗證，實際寫入時用較短名稱。攻擊者藉此把子模組的 `.git` 檔案換成指向含惡意設定或 hooks 目錄的符號連結，Git 之後使用該目錄，就會在遞歸複製期間執行攻擊者控制的程式碼。
CVE-2026-113408：以協定 v2 複製空儲存庫時，伺服器可宣告指向未誕生分支的 `HEAD` symref，Git 儲存前沒有驗證目標；惡意伺服器可提交含路徑遍歷組件的名稱，令之後更新分支的操作寫到預定參考目錄之外。新版會在接收前驗證。
## 簽章、補丁與合併
CVE-2026-114467 涉及移除簽章的堆疊損毀。Git 剝離 GPG 簽章時假設訊息最多兩個簽章，含三個以上簽章的訊息會令它寫出固定大小堆疊陣列邊界，合併這類標籤即可觸發，造成記憶體損毀甚至阻斷服務。
CVE-2026-114469：Git 拒絕大於約 1 GiB 的補丁，但只檢查供應時的大小；二進位補丁經壓縮編碼，小量輸入可解壓成超限內容，繞過檢查並令 Git 崩潰。新版會同時檢查宣告的解壓後大小。
CVE-2026-105437：Git 寫出合併結果前計算所需記憶體，當結果極大，例如大量衝突配合很大的 `conflict-marker-size`，計算會溢位，緩衝區過小並被寫出邊界，影響合併不受信任內容的應用與託管服務。
## fast-import 收緊存取
CVE-2026-114466 針對 `git fast-import`。這個工具讀取指令串流建立儲存庫，Git 本來已限制不受信任串流，但 `rewrite-submodules-from` 與 `rewrite-submodules-to` 可讀取任意檔案並透過錯誤訊息洩露內容，`export-pack-edges` 可建立檔案或追加資料。新版會直接拒絕，除非呼叫方加上 `--allow-unsafe-features`。
## 升級與緩解措施
GitHub 已在 github.com 及 Enterprise Cloud 部署修正；Enterprise Server 更新版本為 3.19.15、3.20.11、3.21.9 及 3.22.4，管理員應盡快升級。
無法即時升級的環境，只應從可信伺服器複製，避免遞歸複製不受信任的儲存庫，亦不要合併來源不明的標籤、二進位補丁或 fast-import 串流，但這些措施不能取代安裝修正版本；各分支記錄見官方發布說明\[2\]。
## 參考資料
\[1\] [Git security vulnerabilities announced（2026年11月10日）](https://github.blog/open-source/git/git-security-vulnerabilities-announced-7/)
\[2\] [Git 2.56.1 Release Notes（2026年11月10日）](https://github.com/git/git/blob/v2.56.1/Documentation/RelNotes/2.56.1.adoc)
### 相關文章：
1. [Git 2.56 發布：新增 `git add --resolved` 與 `git refs` 擴充、衝突處理改善](https://sammy.hk/git-2-56-%e7%99%bc%e5%b8%83%ef%bc%9a%e6%96%b0%e5%a2%9e-git-add-resolved%e3%80%81git-refs-%e6%93%b4%e5%85%85%e8%88%87%e8%a1%9d%e7%aa%81%e8%99%95%e7%90%86%e6%94%b9%e5%96%84/ "Git 2.56 發布：新增 git add --resolved 與 git refs 擴充、衝突處理改善")
2. [OpenSSH 10.6p2 緊急修補密碼認證繞過漏洞，只影響關閉 PAM 的 musl 系統](https://sammy.hk/openssh-10-6p2-auth-bypass/ "OpenSSH 10.6p2 緊急修補密碼認證繞過漏洞，只影響關閉 PAM 的 musl 系統")
3. [eMudhra 中級憑證密鑰外洩，Go 與 Gentoo 緊急推出修補](https://sammy.hk/emudhra-ca-compromise/ "eMudhra 中級憑證密鑰外洩，Go 與 Gentoo 緊急推出修補")
4. [PostgreSQL Anonymizer 3.3 修補十二個嚴重漏洞，遮罩角色可讀真實資料](https://sammy.hk/postgresql-anonymizer-3-3/ "PostgreSQL Anonymizer 3.3 修補十二個嚴重漏洞，遮罩角色可讀真實資料")