CVE-2026-47734

إصدارات Dulwich الأقدم من 1.2.5

تؤدي مشكلة استهلاك الموارد غير المنضبط إلى استنفاد الذاكرة وحجب الخدمة. يمكن للعميل الذي يتمتع بحق الوصول عبر ميزة «الدفع» (push) إرسال حزمة صغيرة مُصممة خصيصًا (thin pack) حيث يحدد رأس «دلتا» (delta) قيمة dest size كبيرة بشكل مفرط. عندما يعالج البرنامج هذا الحزمة عبر دالتي add thin pack أو apply delta، فإنه يخصص مئات الميغابايت من الذاكرة بناءً على الحجم الذي يتحكم فيه المهاجم، بغض النظر عن عدد البايتات الفعلية المستلمة. يؤثر هذا على المشغلين الذين يديرون خادم Git قائم على Dulwich ويقبل عمليات الدفع (push)، مثل أولئك الذين يستخدمون وظيفة dulwich.server، أو الخادم الذكي HTTP، أو المكونات المبنية على ReceivePackHandler.

قم بالتحديث إلى الإصدار 1.2.5 أو أحدث وقم بتكوين receive.maxInputSize في تكوين مستودع الخادم إلى حد معقول.

قم بتقييد الوصول إلى عمليات الدفع (push) على العملاء الموثوق بهم والمصادق عليهم فقط، أو قم بتعطيلها على الخوادم التي تتطلب قدرات الاسترداد (fetch) فقط.

قم بتنفيذ حدود الذاكرة على مستوى نظام التشغيل باستخدام أدوات مثل ulimit أو cgroups/MemoryMax أو حدود ذاكرة الحاويات لمنع أي عملية دفع (push) ضارة من تعطل المضيف.