CVE-2026-22004 – Envenenamiento de punteros de Git LFS (Cadena de suministro)

Código del programa (Bash + Python)

# create_malicious_repo.sh - Sets up a repo with poisoned LFS pointer
git init
git lfs track "*.bin"
echo "version https://git-lfs.github.com/spec/v1
oid sha256:4142434445464748494a4b4c4d4e4f505152535455565758595a616263646566
size 4" > malware.bin
git add .gitattributes malware.bin
git commit -m "Add LFS file"

CVE-2026-22004 – Envenenamiento de punteros de Git LFS (Ataque a la cadena de suministro)

Resumen

Un repositorio utiliza Git LFS pero no fija el endpoint de LFS ni verifica los hashes de los objetos después de la descarga. Un atacante que comprometa el servidor LFS (o pueda actuar como hombre en el medio) puede reemplazar el archivo grande por uno malicioso, y el clon lo descargará automáticamente y podría ejecutarlo.

Detalles de la vulnerabilidad

• Tipo: Cadena de suministro / Hombre en el medio
• Impacto: Ejecución de código en las máquinas de los desarrolladores.
• Causa raíz: Git LFS confía en el almacén LFS remoto; si el archivo de puntero se modifica o el servidor LFS es malicioso, el objeto obtenido puede diferir del hash esperado sin advertencia.

Demostración del exploit

1. Ejecuta el script de configuración para crear un repositorio con LFS.
2. Simula un servidor LFS malicioso que devuelve un troyano.
3. Clona el repositorio → se obtiene el objeto malicioso.

bash create_malicious_repo.sh
# Then simulate rogue LFS server