CVE-2026-22004 – تسميم مؤشر Git LFS (سلسلة التوريد)

كود البرنامج (Bash + Python)

# create_malicious_repo.sh - Sets up a repo with poisoned LFS pointer
git init
git lfs track "*.bin"
echo "version https://git-lfs.github.com/spec/v1
oid sha256:4142434445464748494a4b4c4d4e4f505152535455565758595a616263646566
size 4" > malware.bin
git add .gitattributes malware.bin
git commit -m "Add LFS file"

CVE-2026-22004 – تسميم مؤشر Git LFS (هجوم سلسلة التوريد)

نظرة عامة

يستخدم المستودع Git LFS لكنه لا يثبّت نقطة نهاية LFS ولا يتحقق من تجزئات الكائنات بعد التنزيل. يمكن للمهاجم الذي يخترق خادم LFS (أو يستطيع تنفيذ هجوم الوسيط) استبدال الملف الكبير بملف خبيث، وعندها يقوم الاستنساخ تلقائيًا بتنزيله وربما تنفيذه.

تفاصيل الثغرة

• النوع: سلسلة التوريد / رجل في المنتصف
• الأثر: تنفيذ تعليمات برمجية على أجهزة المطوّرين.
• السبب الجذري: يثق Git LFS بمخزن LFS البعيد؛ إذا تم تعديل ملف المؤشر أو كان خادم LFS خبيثًا، فقد يختلف الكائن الذي تم جلبه عن التجزئة المتوقعة دون أي تحذير.

عرض الاستغلال

1. شغّل البرنامج النصي للإعداد لإنشاء مستودع مع LFS.
2. محاكاة خادم LFS مارق يعيد حصان طروادة.
3. استنسخ المستودع → يتم جلب الكائن الخبيث.

bash create_malicious_repo.sh
# Then simulate rogue LFS server