CVE-2025-26625 in Git LFS
要約
〜によって VulDB • 2026年08月30日
Git LFSは、大規模なファイルのバージョン管理のためのGit拡張機能です。Git LFSの0.5.2から3.7.0までのバージョンでは、GitリポジトリのワーキングツリーにGit LFSオブジェクトの内容を展開する際、シンボリックリンクまたはハードリンクが存在し、それらがGit LFSによって追跡されるファイルのパスと衝突する場合、特定のGit LFSコマンドが現在のGitワーキングツリーの外部に見えるファイルに対して書き込みを行う可能性があります。git lfs checkoutおよびgit lfs pullコマンドは、ワーキングツリー内のファイルに書き込む前にシンボリックリンクをチェックしないため、攻撃者はこれらのコマンドを実行するユーザーによってアクセス可能な任意のファイルシステム領域へGit LFSが書き込みを行わせるような、シンボリックまたはハードリンクを含むリポジトリを仕掛けることができます。さらに、git lfs checkoutおよびgit lfs pullコマンドがベアリポジトリで実行された場合、それらはリポジトリの外側に見えるファイルに対して書き込む可能性があります。この脆弱性はバージョン3.7.1で修正されています。回避策として、core.symlinks設定オプションをfalseに設定することでGitにおけるシンボリックリンクのサポートを無効化できますが、これにより以降のクローンおよびフェッチ操作ではシンボリックリンクは作成されなくなります。ただし、既存のリポジトリ内の任意のシンボリックまたはハードリンクについては、依然としてGit LFSがそのターゲットに対して書き込みを行う機会を提供し続けることになります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.