JVNDB-2026-018308

go-git projectのgo-gitにおける複数の脆弱性

go-gitは純粋なGoで書かれた拡張可能なgit実装ライブラリです。5.19.0および6.0.0-alpha.3より前のバージョンでは、go-gitは上流のGitとは異なる方法で不正なGitオブジェクトを解析する可能性があります。コミットまたはタグオブジェクトに曖昧または不正なヘッダーが含まれている場合、go-gitのデコードされた表現はGit自体が同じオブジェクトを解釈または拒否する方法と異なって値を露出することがあります。さらに、go-gitのコミット署名および検証ロジックは、元の生オブジェクトのバイト列ではなく、go-gitの解析された表現から再構築されたコミットデータに基づいて動作します。その結果、go-gitはリポジトリに保存されているオブジェクトとバイト単位で等価でないコミットペイロードに署名または検証を行う可能性があります。これにより、表示されるメタデータや実際のメタデータが署名対象のオブジェクトと異なるコミットの署名が有効であるように見えることがあります。この脆弱性は5.19.0および6.0.0-alpha.3で修正されています。

go-git project

• go-git 5.19.0 未満
• go-git 6.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Improper parsing of specially crafted objects may lead to inconsistent interpretation compared to upstream Git  Advisory  go-git/go-git  GitHub

1. 不適切な動作順序 (正規化前の検証)(CWE-180) [その他]
2. データの信頼性についての不十分な検証(CWE-345) [その他]

1. CVE-2026-45022

1. National Vulnerability Database (NVD) : CVE-2026-45022

• [2026年06月08日]
    掲載