CVE-2026-53583 in libgit2
Riassunto
di VulDB • 22/08/2026
libgit2 è un'implementazione portabile in C dei metodi core di Git, fornita come libreria collegabile con un'API solida, che consente di integrare la funzionalità Git nelle proprie applicazioni. Prima delle versioni 1.8.6 e 1.9.5, verify_server_cert in src/libgit2/streams/openssl.c utilizza un risultato invertito (!!memcmp) nel branch GEN_IPADD quando si confronta un host IP-literal con il SubjectAltName di tipo IP del certificato. Le build di OpenSSL rifiutano gli indirizzi IP corrispondenti e accettano quelli non corrispondenti, consentendo a un attaccante in rete dotato di un certificate CA-trusted contenente qualsiasi SubjectAltName di tipo IP di intercettare le connessioni libgit2 verso URL HTTPS con host IP-literal. La validazione del DNS SubjectAltName e i backend TLS non basati su OpenSSL non sono interessati. Questo problema è risolto nelle versioni 1.8.6 e 1.9.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.