CVE-2026-78676: Kritisk fejl i GitPython giver kodeudførelse

CVE-2026-78676 er en sårbarhed i GitPython, et Python-bibliotek som mange udviklingsværktøjer og CI/CD-pipelines bruger til at læse og skrive i git-repositorier programmatisk. Fejlen ligger i den måde, GitPython gemmer flerlinjede værdier i en git-konfigurationsfil (den fil, der styrer indstillinger for et git-repository). Når GitPython skriver konfigurationen om, kan en værdi med skjulte linjeskift blive omdannet fra en uskadelig, citeret tekststreng til et aktivt direktiv, for eksempel core.hooksPath, som fortæller git, hvor den skal finde script der køres automatisk. Det gør det muligt for en angriber at få eget kode kørt, næste gang en almindelig git-handling udløser hook’en.

Det rammer virksomheder, der bruger GitPython i egne værktøjer, automatiseringsscript, CI/CD-pipelines (automatiske build- og udrulningsflows) eller interne systemer, som klontr eller behandler git-repositorier fra kilder, I ikke selv kontrollerer fuldt ud. Det gælder alle versioner af GitPython før 3.1.59. Særligt udsatte er systemer, der henter kode fra eksterne bidragydere, kunderepositorier eller open source-projekter og derefter foretager en hvilken som helst konfigurationsændring via GitPython.

En angriber kan lægge en forberedt konfigurationsfil i et repository, som ser harmløs ud. Så snart jeres system bruger GitPython til at foretage en helt almindelig, urelateret ændring i konfigurationen, kan den skjulte værdi blive aktiveret som et git-hook-direktiv. Næste gang der udføres en git-handling som commit eller checkout, kører angriberens kode med de rettigheder, som jeres byggeserver eller automatiseringsjob har. I praksis kan det give fuld adgang til byggeserveren, kildekode, adgangskoder gemt i pipelinen og adgang videre ind i jeres netværk.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Sårbarheden kan udnyttes over netværket, kræver ingen login eller rettigheder og ingen handling fra en bruger ud over, at systemet selv foretager en normal konfigurationsskrivning. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, da angriberen kan opnå vilkårlig kodeudførelse. Der er ikke oplyst aktiv udnyttelse i det åbne på offentliggørelsestidspunktet, men fejlen er let at forstå og kræver ingen specialviden at udnytte, når man kender mekanismen.

Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden.

1. Opdatér GitPython til version 3.1.59 eller nyere i alle projekter, byggeservere og containerimages, der bruger biblioteket.
2. Gennemgå jeres kodebase og CI/CD-pipelines for at finde alle steder, hvor GitPython indgår, direkte eller som transitiv afhængighed via andre biblioteker.
3. Tjek eksisterende git-konfigurationsfiler i repositorier for uventede eller mistænkelige core.hooksPath-værdier eller andre direktiver, I ikke selv har sat.
4. Begræns, hvilke rettigheder byggeservere og automatiseringsjob har, så en eventuel kodeudførelse ikke automatisk giver adgang til hele netværket.
5. Undgå indtil videre at lade automatiserede systemer klone eller behandle repositorier fra ukendte eller ubetroede kilder uden manuel gennemgang.
6. Hvis I ikke selv kan afgøre, om jeres systemer er berørt, eller I finder tegn på kompromittering, bør I hente ekstern sikkerhedshjælp til at gennemgå byggemiljøet.