CVE-2026-53585 in libgit2
Résumé
par VulDB • 20/08/2026
libgit2 est une implémentation portable en C des méthodes centrales de Git, fournie sous forme de bibliothèque liable avec une API robuste, permettant d'intégrer les fonctionnalités de Git dans vos applications. Avant les versions 1.8.6 et 1.9.5, la fonction `git_delta_apply` située dans `src/libgit2/delta.c` fait confiance à la valeur `res_sz`, contrôlée par l'attaquant et analysée depuis `hdr_sz` dans l'en-tête d'un objet delta, et transmet ce montant à `git__malloc` avant de valider les instructions du delta. Des données de paquet malveillantes fournies via `git_clone`, `git_fetch`, `git_remote_fetch`, `git_indexer_append` ou un dépôt local fourni par un attaquant peuvent utiliser une chaîne OFS_DELTA multi-niveaux très petite pour conserver des allocations extrêmement importantes et épuiser la mémoire. Ce problème est corrigé dans les versions 1.8.6 et 1.9.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.