CVE-2026-22004 – Git LFS पॉइंटर पॉइज़निंग (सप्लाई चेन)

प्रोग्राम कोड (Bash + Python)

# create_malicious_repo.sh - Sets up a repo with poisoned LFS pointer
git init
git lfs track "*.bin"
echo "version https://git-lfs.github.com/spec/v1
oid sha256:4142434445464748494a4b4c4d4e4f505152535455565758595a616263646566
size 4" > malware.bin
git add .gitattributes malware.bin
git commit -m "Add LFS file"

CVE-2026-22004 – Git LFS पॉइंटर पॉइज़निंग (सप्लाई चेन हमला)

अवलोकन

एक रिपॉज़िटरी Git LFS का उपयोग करती है लेकिन LFS एंडपॉइंट को पिन नहीं करती या डाउनलोड के बाद ऑब्जेक्ट हैश को सत्यापित नहीं करती। कोई हमलावर जो LFS सर्वर से समझौता करता है (या मैन-इन-द-मिडिल बन सकता है) बड़ी फ़ाइल को दुर्भावनापूर्ण फ़ाइल से बदल सकता है, और क्लोन स्वचालित रूप से उसे डाउनलोड कर उसे निष्पादित कर सकता है।

भेद्यता विवरण

प्रकार: सप्लाई चेन / मैन-इन-द-मिडिल
प्रभाव: डेवलपर मशीनों पर कोड निष्पादन।
मूल कारण: Git LFS दूरस्थ LFS स्टोर पर भरोसा करता है; यदि पॉइंटर फ़ाइल संशोधित की जाती है या LFS सर्वर दुर्भावनापूर्ण है, तो प्राप्त ऑब्जेक्ट बिना चेतावनी के अपेक्षित हैश से भिन्न हो सकता है।

शोषण प्रदर्शन

LFS के साथ एक रिपॉज़िटरी बनाने के लिए सेटअप स्क्रिप्ट चलाएँ।
एक दुष्ट LFS सर्वर का अनुकरण करें जो ट्रोजन लौटाता है।
रिपॉज़िटरी क्लोन करें → दुर्भावनापूर्ण ऑब्जेक्ट प्राप्त किया जाता है।

bash create_malicious_repo.sh
# Then simulate rogue LFS server

CVE-2026-22004-Git-LFS-Pointer-Poisoning-Supply-Chain-

सबसे लोकप्रिय