USN-7977-1: Git LFS-Schwachstellen

Pakete
git-lfs - Kommandozeilenerweiterung und Spezifikation für die Verwaltung großer Dateien mit Git

Details
Ryota K entdeckte, dass Git LFS in bestimmten Fällen Anmeldedaten ausspähen kann
Instanzen Anmeldedaten verraten kann, da die Prüfung auf URL-kodierte Zeichen fehlschlägt. Ein
Angreifer könnte dieses Problem möglicherweise ausnutzen, um an vertrauliche Informationen zu gelangen.
(CVE-2024-53263)

Es wurde entdeckt, dass Git LFS mit den Befehlen git lfs checkout und
git lfs pull Befehle missbraucht werden konnten, um in jede Datei auf dem System eines
System zu schreiben. Ein Angreifer könnte dieses Problem möglicherweise ausnutzen, um beliebigen
Code auszuführen. Dieses Problem wurde nur in Ubuntu 24.04 LTS und
Ubuntu 25.10. (CVE-2025-26625)

Anweisungen zur Aktualisierung
Im Allgemeinen wird ein Standard-System-Update alle notwendigen Änderungen vornehmen.

Das Problem kann behoben werden, indem Sie Ihr System auf die folgenden Paketversionen aktualisieren:

25.10 questing

• git-lfs - 3.6.1-1ubuntu0.1
• golang-github-git-lfs-git-lfs-dev - 3.6.1-1ubuntu0.1

24.04 LTS edel

• git-lfs - 3.4.1-1ubuntu0.3+esm2
• golang-github-git-lfs-git-lfs-dev - 3.4.1-1ubuntu0.3+esm2

22.04 LTS jammy

• git-lfs - 3.0.2-1ubuntu0.3+esm2
• golang-github-git-lfs-git-lfs-dev - 3.0.2-1ubuntu0.3+esm2

20.04 LTS focal

• git-lfs - 2.9.2-1ubuntu0.1~esm2

18.04 LTS bionic

• git-lfs - 2.3.4-1ubuntu0.1~esm1