CVE-2026-22004 – Git LFS ポインターポイズニング（サプライチェーン）

プログラムコード（Bash + Python）

# create_malicious_repo.sh - Sets up a repo with poisoned LFS pointer
git init
git lfs track "*.bin"
echo "version https://git-lfs.github.com/spec/v1
oid sha256:4142434445464748494a4b4c4d4e4f505152535455565758595a616263646566
size 4" > malware.bin
git add .gitattributes malware.bin
git commit -m "Add LFS file"

CVE-2026-22004 – Git LFS ポインターポイズニング（サプライチェーン攻撃）

概要

リポジトリが Git LFS を使用しているものの、LFS エンドポイントを固定しておらず、ダウンロード後にオブジェクトのハッシュを検証していません。LFS サーバーを侵害した攻撃者（または中間者攻撃が可能な攻撃者）は、大容量ファイルを悪意のあるファイルに置き換えることができ、クローン時に自動的にダウンロードされ、実行される可能性があります。

脆弱性の詳細

• 種類: サプライチェーン / 中間者攻撃（Man-in-the-Middle）
• 影響: 開発者マシンでのコード実行。
• 根本原因: Git LFS はリモートの LFS ストアを信頼します。ポインターファイルが改ざんされたり、LFS サーバーが悪意のあるものであった場合、取得したオブジェクトが警告なしに期待されたハッシュと異なる可能性があります。

攻撃実証（エクスプロイトデモ）

1. セットアップスクリプトを実行して LFS を含むリポジトリを作成します。
2. トロイの木馬を返す不正な LFS サーバーをシミュレートします。
3. リポジトリをクローンする → 悪意のあるオブジェクトが取得されます。

bash create_malicious_repo.sh
# Then simulate rogue LFS server