깃 보안 릴리스 공개, 재귀 클론 원격코드실행 수정

1. 개요
깃(Git) 프로젝트가 11월 10일 보안 릴리스를 공개하고 취약점 6건을 한 번에 수정했습니다. 최신 계열인 2.56.1에 패치가 들어갔고, 아직 구버전을 쓰는 환경을 위해 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3, 2.50.2로 백포트가 함께 나왔습니다. 메인테이너는 "업그레이드를 강력히 권고한다"고 밝혔습니다.

2. CVE-2026-111760 - 재귀 클론 중 코드 실행
이번에서 가장 위험한 건 CVE-2026-111760입니다. 깃이 인덱스를 다룰 때 발생하는 정수 절삭(integer truncation) 문제인데, 아주 긴 경로가 한 이름으로는 안전성 검사를 통과한 뒤 실제로는 더 짧은 이름으로 기록되는 불일치가 생깁니다. 이 틈을 이용하면 서브모듈의 .git 파일을 악성 설정이나 훅이 들어있는 디렉터리를 가리키는 심볼릭 링크로 바꿔치기할 수 있고, 결과적으로 악성 저장소를 git clone --recursive로 받는 순간 공격자가 심은 코드가 돌아갑니다. CI 러너나 자동화 스크립트에서 외부 저장소를 재귀 클론하는 파이프라인이 있다면 먼저 확인해봐야 합니다.

3. 나머지 5건
함께 수정된 항목도 성격이 제각각입니다. CVE-2026-113408은 잘못된 HEAD 참조로 저장소 밖 임의 경로에 쓰기가 가능한 문제, CVE-2026-114467은 커밋에 여러 GPG 서명을 넣었을 때 스택 버퍼 오버플로가 나는 문제입니다. CVE-2026-114469는 바이너리 패치 압축 해제가 크기 제한을 우회해 범위를 벗어난 읽기를 일으키고, CVE-2026-105437은 큰 충돌 마커가 있는 삼자 병합 계산에서 힙 버퍼 오버플로가 발생합니다. CVE-2026-114466은 fast-import 기능으로 허가되지 않은 파일 접근과 정보 노출이 가능한 건입니다.

4. 조치
자기가 쓰는 계열의 패치 버전으로 올리면 됩니다. 다만 깃 바이너리만 신경 쓰면 끝이 아닙니다. 자체적으로 깃을 번들로 포함한 소프트웨어(개발 도구, 각종 CLI, 컨테이너 이미지)도 함께 갱신해야 한다고 공지가 짚고 있어서, 베이스 이미지에 깃이 박혀 있는 경우 이미지 재빌드까지 챙겨야 합니다.

🔗 https://www.openwall.com/lists/oss-security/2026/11/11/10

🔗 https://www.helpnetsecurity.com/2026/11/11/git-project-security-updates/