Vulnerabilidad en Dulwich de jelmer (CVE-2026-42305)

Dulwich es una implementación pura de Python de los formatos y protocolos de archivo de Git. Las versiones a partir de la 0.10.0 y anteriores a la 1.2.5 tienen una escritura de archivo arbitraria que conduce a ejecución remota de código al clonar o extraer un repositorio Git malicioso en Windows. El validador de elementos de ruta de Dulwich aceptaba entradas de árbol cuyos nombres de archivo contenían bytes que Windows interpreta como sintaxis de ruta estructural. Errores de configuración contribuyentes empeoraron las cosas. Las configuraciones core.protectNTFS y core.protectHFS se buscaron bajo un nombre de opción incorrecto y por lo tanto los valores establecidos por el usuario fueron ignorados silenciosamente, y core.protectNTFS solo se estableció por defecto en verdadero en Windows (Git upstream lo ha establecido por defecto en verdadero en todas partes desde CVE-2019-1353). Ambos han sido corregidos. Cualquiera que clone, obtenga o extraiga un repositorio no confiable con Dulwich en Windows - ya sea a través de la CLI de Dulwich, porcelain.clone, o cualquier herramienta derivada construida sobre Dulwich - se ve afectado. Las clonaciones POSIX no son directamente explotables (en POSIX \ es un byte literal de nombre de archivo), pero un usuario POSIX puede propagar sin saberlo un árbol malicioso a los consumidores de Windows a través de un push o republicación. Este problema está solucionado en Dulwich 1.2.5. Los usuarios deben actualizar a la versión 1.2.5 o posterior. No existe una solución alternativa pre-parche efectiva. En las versiones afectadas, la clave de configuración core.protectNTFS fue ignorada silenciosamente, por lo que establecerla en verdadero no mitiga el problema. Los usuarios que no pueden actualizar deben evitar clonar, obtener o extraer repositorios no confiables con Dulwich en Windows. Después de actualizar, el validador NTFS está activado por defecto en todas las plataformas, por lo que no se requiere configuración adicional.