CVE-2026-78676: Kritisk GitPython-sårbarhed

GitPython er et populært Python-bibliotek, som mange udviklingsværktøjer og automatiseringsplatforme bruger til at arbejde med git-repositories (versionsstyringssystemer). En kritisk fejl i versioner før 3.1.59 betyder, at biblioteket ikke håndterer flerlinjet indhold i git-konfigurationsfiler korrekt, når det skriver til dem. En angriber kan forberede en konfigurationsfil med skjulte kommandoer, der er gemt i et tilsyneladende ufarligt felt. Næste gang GitPython skriver noget andet til filen — hvad som helst — aktiveres de skjulte kommandoer automatisk og udføres som rigtige instruktioner til git. Det kan ske helt uden at nogen lægger mærke til det.

Sårbarheden rammer virksomheder og teams, der:

• Bruger udviklingsværktøjer, CI/CD-pipelines (automatiserede byg- og leveringssystemer) eller scripts, der er bygget oven på GitPython
• Kører platforme til kodereview, deployment eller projektautomatisering, der internt benytter git-integration via Python
• Tillader brugere eller eksterne parter at bidrage med filer til et git-repository, som behandles af GitPython

Selv hvis I ikke selv programmerer i Python, kan et eksternt SaaS-værktøj eller en intern platform i jeres tekniske infrastruktur være berørt.

Hvis en angriber udnytter fejlen, kan vedkommende få GitPython til at udføre vilkårlig kode på den server eller computer, der kører biblioteket. I praksis betyder det:

• Fuldstændig systemkontrol: Angriberen kan køre egne programmer med de samme rettigheder som jeres udviklingsplatform
• Datatyveri: Adgang til kildekode, hemmeligheder, API-nøgler og andre følsomme data i jeres repositories
• Forsyningskædeangreb: Angriberen kan manipulere jeres kode, inden den deployes til produktion, og dermed ramme jeres kunder
• Ransomware eller sabotage: Servere kan krypteres eller data slettes

Fejlen er vurderet til CVSS-score 9,8 ud af 10 — det er den næsthøjeste mulige score og klassificeres som kritisk. Den er særligt farlig, fordi:

• Angrebet kan udføres over nettet uden login (ingen konto eller særlige rettigheder kræves)
• Det kræver ingen handling fra brugeren — det sker automatisk i baggrunden
• Kompleksiteten er lav, hvilket betyder at angrebet ikke kræver avancerede evner hos angriberen
• Konsekvenserne rammer fortrolighed, integritet og tilgængelighed på én gang

CWE-88 betegner en fejlkategori kaldet ‘argument injection’ — altså at uønskede kommandoer smugles ind og udføres som legitime instruktioner.

Hvis I bruger GitPython direkte eller har systemer, der gør det, skal I handle hurtigt. Her er hvad du konkret gør:

1. Find ud af om I er berørt: Spørg jeres udviklere eller IT-leverandør om jeres systemer bruger Python-biblioteket GitPython, og hvilken version der er installeret. Kør kommandoen pip show gitpython for at se versionen.
2. Opdatér til GitPython 3.1.59 eller nyere: Det gøres med kommandoen pip install --upgrade gitpython. Denne version indeholder den rettelse, der lukker sårbarheden.
3. Gennemgå jeres git-konfigurationsfiler: Bed jeres udviklere om at kontrollere eksisterende .git/config-filer for ukendte eller mistænkelige linjer, særligt felter som core.hooksPath.
4. Begræns hvem der kan bidrage filer til jeres repositories: Sørg for, at kun betroede parter kan uploade eller ændre filer i jeres git-repositories, mens opdateringen rulles ud.
5. Kontakt jeres IT-partner eller softwareleverandør: Hvis I bruger tredjeparts platforme, der integrerer med git, så spørg leverandøren om de er opdateret.