[{"data":1,"prerenderedAt":10},{"public-news:news_46ec5dda-e0ed-4164-bdeb-a951ea5a0d0c":2},{"id":3,"news":4,"error":9},"news_46ec5dda-e0ed-4164-bdeb-a951ea5a0d0c",{"id":3,"title":5,"content":6,"authorName":7,"publishedAt":8},"Git 2.56.1 修補六項安全漏洞：遞迴複製、合併與匯入風險","Git 專案於 2026 年 11 月 10 日公布六項安全修補。修補版本包括 Git 2.56.1，以及 2.55.1、2.54.1、2.53.1、2.52.1、2.51.3、2.50.2。GitHub 建議升級至 Git 2.56.1，或安裝所使用維護版本的修補更新。\n\n六項漏洞涵蓋下列情境：\n• CVE-2026-111760：遞迴複製惡意 Repository 時，特製長路徑可造成程式碼執行。\n• CVE-2026-113408：Git protocol v2 的未驗證 HEAD 參照名稱可造成路徑穿越。\n• CVE-2026-114467：移除多重簽章時可能發生堆疊記憶體損毀。\n• CVE-2026-114469：特製 Binary Patch 可造成越界讀取。\n• CVE-2026-105437：大型合併結果可能造成 Heap 記憶體損毀。\n• CVE-2026-114466：特定 fast-import 功能可讀寫 Repository 外的檔案。\n\n維運人員應檢查本機 Git、CI Runner、建置映像與會呼叫 Git 的自動化工具。GitHub 已將修補部署至 GitHub.com、GitHub Enterprise Cloud 與 Enterprise Cloud with data residency。GitHub Enterprise Server 的修補版本為 3.19.15、3.20.11、3.21.9 與 3.22.4。GitHub Desktop、Copilot App、Codespaces 與 GitHub Actions 的更新依官方公告陸續推出。\n\n升級前的暫時性風險降低方式包括：只從可信任伺服器複製 Repository、避免遞迴複製不可信 Repository、避免合併不可信內容或標籤，以及避免處理不可信 Binary Patch 與 fast-import stream。這些措施應搭配修補版本升級。\n\nMokoversity《Codex 資安修補實戰 01：建立受控的 Codex 資安修補工作區》以合成程式資料練習設定受控工作區、核對 Repository 與基準 Commit、界定 Codex 任務範圍及建立安全回歸檢查。課程示範可重複的專案修補流程，不包含 Git 漏洞的直接修補。課程售價 NT$220。\n\n課程內容與購買方式：https://www.mokoversity.com/courses/codex-security-controlled-workspace?utm_source=website&utm_medium=organic_news&utm_campaign=git_security_nov2026&utm_content=git_2_56_1\n\nGit 專案公告：https://github.blog/open-source/git/git-security-vulnerabilities-announced-7/\nGit 官方下載頁：https://git-scm.com/downloads/","moko365","2026-11-11T02:01:39.097Z","",1794324759588]