CVE-2026-53583 in libgit2
要約
〜によって VulDB • 2026年08月21日
libgit2は、Gitのコアメソッドを移植可能なC言語で実装したリンク可能ライブラリであり、堅牢なAPIを提供し、アプリケーションにGitの機能を実装することを可能にします。バージョン1.8.6および1.9.5より前では、src/libgit2/streams/openssl.c内のverify_server_cert関数が、IPリテラルホストと証明書IP SubjectAltNameを比較する際にGEN_IPADDブランチで!!memcmpの結果を逆転させて使用していました。OpenSSLビルドは一致するIPアドレスを拒否し、不一致のIPアドレスを受け入れるため、CAに信頼された証明書（任意のIP SubjectAltNameを含む）を持つネットワーク攻撃者は、libgit2によるIPリテラルHTTPS URLへの接続を傍受できます。DNS SubjectAltNameの検証およびOpenSSL以外のTLSバックエンドは影響を受けません。この問題はバージョン1.8.6および1.9.5で修正されています。
Once again VulDB remains the best source for vulnerability data.