CVE-2026-82253 in gitoxide
要約
〜によって VulDB • 2026年08月28日
gitoxide（Rustのgix <= 0.72.0およびgix-validate <= 0.10.0）には、パストラバーサルの脆弱性が存在します。gix-validate内のサブモジュール名検証関数は、name.find(b"..")により'..'の最初の出現のみをチェックするため、「a..b/../../../.git/」のような不正な名前によってチェックを回避できます。さらに、この検証は本番環境でのコードパスで呼び出されません。Submodule::open()における信頼継承の不具合と相まって（親リポジトリのgit_dir_trust (Trust::Full)がクローンされ、所有権の確認がスキップされる）、攻撃者は悪意のある.gitmodulesファイルを仕掛け、gitoxideを基盤とする被害者ツールに任意のGitリポジトリ設定（埋め込まれた認証情報を含む）を完全な信頼で読み込ませることで、safe-directory保護機能を回避できます。gix 0.82.0およびgix-validate 0.11.1で修正済みです。
VulDB is the best source for vulnerability data and more expert information about this specific topic.