CVE-2026-47734

Nome do Software Vulnerável e Versões Afetadas Dulwich versões anteriores a 1.2.5

Description Um problema de consumo descontrolado de recursos leva à exaustão de memória e negação de serviço. Um cliente com acesso de push pode enviar um thin pack manipulado de tamanho reduzido onde o cabeçalho delta especifica um dest size excessivamente grande. Quando o software processa isso através das funções add thin pack ou apply delta, ele aloca centenas de megabytes de memória com base no tamanho controlado pelo invasor, independentemente dos bytes reais recebidos. Isso afeta operadores que executam um servidor Git baseado em Dulwich que aceita pushes, como aqueles que utilizam a funcionalidade dulwich.server, o servidor HTTP smart ou componentes construídos sobre o ReceivePackHandler.

Recommendations Atualize para a versão 1.2.5 ou posterior e configure receive.maxInputSize na configuração do repositório do servidor para um limite razoável. Restrinja o acesso de push apenas a clientes confiáveis e autenticados ou desative-o em servidores que necessitem apenas de capacidades de fetch. Implemente limites de memória no nível do sistema operacional usando ferramentas como ulimit, cgroups/MemoryMax ou limites de memória de container para evitar que um push malicioso derrube o host.