Доступна информация о наличии удалённо эксплуатируемых уязвимостей (CVE-2016-2324 и CVE-2016‑2315) в Git, которые потенциально затрагивают такие системы, как Github, Bitbucket, Gerrit и Gitlab. Проблемы проявляются как на стороне сервера, так и на стороне клиента, и могут привести к выполнению кода атакующего, имеющего доступ к Git-репозиторию. Эксплуатация сводится к инициированию переполнения буфера при выполнении операции push или clone в репозитории, содержащем файл со слишком длинным именем или большим числом вложенных деревьев. Уязвимость устранена в версии 2.7.1 и присутствует во всех более ранних выпусках git (см. дополнение).

Атака может быть совершена на клиента, выполняющего операцию "clone" с сервера, на который могут вносить изменения злоумышленники. Сервер может быть атакован в случае доступа злоумышленников к выполнению команды push (например, публичные git-хостинги). Прототип эксплоита пока не продемонстрирован, возможность его создания обсуждается.

Дополнение: Сообщается, что предложенные патчи не вошли в релиз 2.7.1 и проблема до сих пор проявляется в самом последнем выпуске 2.7.3, т.е. остаётся неисправленной.