CVE-2026-67324: Kritisk fejl i GitPython 3.1.50

CVE-2026-67324 er en sårbarhed i Python-biblioteket GitPython, som mange udviklingsværktøjer og automatiseringsscripts bruger til at hente og styre Git-repositorier. GitPython har en sikkerhedsspærre, der skal forhindre farlige kommandoer i at blive sendt med, når man kloner et repository baseret på brugerinput. Fejlen betyder, at spærren ikke opdager den forkortede skriveform -u<værdi> af parameteren –upload-pack. En angriber kan derfor snige en skadelig kommando med gennem denne genvej, selvom applikationen tror, den har blokeret netop den type kommando. Når Git efterfølgende udfører klonen, kører den medsendte kommando automatisk på serveren.

Sårbarheden rammer alle applikationer, der bruger GitPython version 3.1.50 eller ældre, og som lader brugere eller eksterne systemer påvirke de valgfrie parametre til Repo.clone_from, samtidig med at applikationen sætter allow_unsafe_options=False i den tro, at det er sikkert. Det gælder typisk interne udviklingsværktøjer, CI/CD-pipelines, kodegennemgangssystemer og selvbetjeningsportaler, hvor brugere kan angive et Git-repository eller klonparametre. Danske virksomheder med egenudviklede platforme, der integrerer med Git, samt leverandører af udviklerværktøjer bør tjekke deres afhængigheder.

En angriber, der kan påvirke klonparametrene, kan få serveren til at udføre en vilkårlig kommando under kloningen. I praksis betyder det fuld kompromittering af den server eller tjeneste, der udfører git-clone-kaldet: adgang til filsystem, mulighed for at stjæle koder og adgangsnøgler, og et springbræt videre ind i virksomhedens netværk. Da sårbarheden ikke kræver login eller brugerinteraktion fra en legitim bruger, kan den udnyttes direkte gennem den funktion i applikationen, der modtager klonparametrene.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (privilege required: none) og ingen handling fra en bruger (user interaction: none). Det kan udføres over netværket med lav kompleksitet, og det giver angriberen fuld kontrol over fortrolighed, integritet og tilgængelighed på den ramte server. Der er ved offentliggørelsen ingen kendte tilfælde af aktiv udnyttelse, men fejlen er let at forstå og udnytte, når man kender detaljerne.

Sådan lukker I hullet og reducerer risikoen, mens I opdaterer:

1. Opdatér GitPython til version 3.1.51 eller nyere i alle applikationer, scripts og containerimages, hvor biblioteket indgår.
2. Gennemgå kode, der kalder Repo.clone_from med multi_options, og fjern eller valider al brugerstyret input strengt, uanset om allow_unsafe_options er sat.
3. Tjek CI/CD-pipelines, interne portaler og tredjepartsværktøjer for indirekte afhængighed af GitPython via andre pakker.
4. Gennemgå logs for uventede git-clone-kald eller udførte helper-kommandoer i perioden op til opdateringen.
5. Begræns hvilke systemer og brugere, der kan sende klonparametre til interne tjenester, som en ekstra sikkerhedsforanstaltning.
6. Kontakt jeres it-leverandør eller en sikkerhedsrådgiver, hvis I ikke selv kan overskue, hvor GitPython bruges i jeres kodebase.