CVE-2026-53583 in libgit2
الملخص
بحسب VulDB • 20/08/2026
libgit2 هو تنفيذ قابل للنقل بلغة C لطرق نواة Git، مُقدَّم كمكتبة قابلة للربط (linkable library) مع واجهة برمجة تطبيقات قوية، مما يتيح دمج وظائف Git في تطبيقك. قبل الإصدارين 1.8.6 و1.9.5، تستخدم الدالة `verify_server_cert` الموجودة في الملف `src/libgit2/streams/openssl.c` نتيجة مقلوبة لـ `!!memcmp` في فرع `GEN_IPADD` عند مقارنة مضيف يحتوي على حرفي IP (IP-literal) مع اسم بديل للموضوع SubjectAltName من نوع IP في الشهادة. ترفض إصدارات OpenSSL عناوين IP المتطابقة وتقبل عناوين IP غير المتطابقة، مما يسمح لمهاجم عبر الشبكة يمتلك شهادة موثوقة من جهة إصدار شهادات (CA) تحتوي على أي اسم بديل للموضوع SubjectAltName من نوع IP باعتراض اتصالات libgit2 مع عناوين URL لـ HTTPS تعتمد على حرفي IP. لا تتأثر عمليات التحقق من أسماء البديلة للموضوع DNS ولا الخلفيات غير المعتمدة على OpenSSL لتشفير طبقة النقل TLS (TLS backends). تم إصلاح هذه المشكلة في الإصدارين 1.8.6 و1.9.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.