已关闭
fix(cve): 修复 CVE-2026-32280 在 git-lfs 中的漏洞 #26
zwjsec创建于 4月20日关闭于 6 天前
fix(cve): 修复 CVE-2026-32280 在 git-lfs 中的漏洞 #26
已关闭
zwjsec创建于 4月20日关闭于 6 天前
zwjsec
4月20日

📄 Problem (问题背景)

  • 涉及漏洞
  • 风险描述:CVE-2026-32280 是 Go 标准库 crypto/x509 的拒绝服务漏洞。在证书链构建过程中,当 VerifyOptions.Intermediates 包含大量中间证书时,工作量未被正确限制,可能导致拒绝服务攻击。git-lfs 作为 Go 项目,依赖 Go 标准库的 crypto/tls 和 crypto/x509 进行 HTTPS 连接,因此受该漏洞影响。

🛠️ Solution (解决方案)

  • 🔍 全量审计声明

    重要:本项目已基于上游(Upstream)主分支(Main/Master)执行全量补丁审计。已包含首个修复补丁及后续所有相关的补充修复(Follow-up fixes),确保修复彻底,无遗漏。

  • 改动详情
    • 升级策略:由于 CVE-2026-32280 是 Go 标准库漏洞而非 git-lfs 本身代码漏洞,本修复采用升级编译依赖的方式:将 SPEC 文件中的 BuildRequires: golang >= 1.23.0 升级为 BuildRequires: golang >= 1.25.9,确保构建时使用已修复的 Go 版本。
    • SPEC 变更
      • Release 从 1 递增至 2。
      • %changelog 中增加 CVE-2026-32280 修复记录。
    • 影响分析:git-lfs 3.7.1 的 go.mod 要求 Go 1.24.0,使用 Go 1.25.9+ 构建符合 Go 版本兼容性要求,不会引入 ABI 不兼容问题。

🔗 Reference (参考资料)

此PR由AI与人协作完成,如有疑问或需要技术支持,请联系infra sig团队获取帮助

likedislike
当前Pull Request已关闭, 关闭人@zhouyi
Zzwjsec
4月20日 创建了 pull request,commit c101aecf
Zzwjsec
4月20日 关联了issue:CVE-2026-32280
openeuler-ci-botopeneuler-ci-bot成员
4月20日 将TommyLike,genedna,georgecao,yikunkero,zhongjun2,zhuchunyi设为审查人
openeuler-ci-botopeneuler-ci-bot成员
4月20日 添加了label:sig/Infrastructure
openeuler-ci-bot
openeuler-ci-bot成员
4月20日 评论:

Welcome To openEuler Community

Hey @zwjsec , thanks for your contribution to the community.

Bot Usage Manual

I'm the Bot here serving you. You can find the instructions on how to interact with me at Here . That means you can comment below every pull request or issue to trigger Bot Commands.

Contact Guide

If you have any questions, please contact the SIG: Infrastructure ,
and any of the maintainers: @TommyLike, @genedna, @georgecao, @yikunkero, @zhongjun2, @zhuchunyi ,
and any of the committers: @Zherphy .

likedislike
openeuler-ci-botopeneuler-ci-bot成员
4月20日 添加了label:openeuler-cla/yes
openeuler-ci-bot
openeuler-ci-bot成员
4月20日 评论:

当前仓库存在以下 保护分支

Protected Branch Version Release
master 3.7.1 1
openEuler-24.03-LTS-SP4 3.6.1 1
openEuler-24.03-LTS-SP3 3.6.1 1
openEuler-25.09 3.6.1 1
openEuler-25.03 3.6.1 1
openEuler-24.03-LTS-SP2 3.6.1 1
openEuler-24.03-LTS-SP1 3.6.1 1
openEuler-24.03-LTS-Next 3.6.1 1
openEuler-24.03-LTS 3.2.0 1
openEuler-22.03-LTS-SP4 3.5.1 1
sync-pr14-master-to-openEuler-25.09 3.7.0 1

评论 /sync <branch1> <branch2> ... 可将当前 PR 修改同步到其它分支(创建同步 PR):
a) 如果当前 PR 是 Open 状态,同步操作将延迟到 PR 被合并时执行
b) 如果当前 PR 已经 Merged,将立即执行同步操作

注意:

  1. /sync 命令可以指定同步到多个分支,仅最后一个 /sync 命令生效
  2. 如果创建的同步 PR 不正确,可通过向同步 PR 的源分支提交轻量级 PR 完善,或使用 /close 命令关闭
likedislike
openeuler-ci-bot
openeuler-ci-bot成员
4月20日 评论:

CLA Signature Pass

zwjsec, thanks for your pull request. All authors of the commits have signed the CLA. 👍

likedislike
openeuler-ci-bot
openeuler-ci-bot成员
4月20日 评论:

门禁正在运行, 您可以通过以下链接查看实时门禁检查结果.
若您对门禁结果含义不清晰或者遇到问题不知如何解决,可参考门禁指导手册
门禁入口及编码规范检查: multiarch/src-openeuler/trigger/git-lfs/9/console

likedislike
openeuler-ci-botopeneuler-ci-bot成员
4月20日 添加了label:ci_processing
openeuler-ci-bot
openeuler-ci-bot成员
4月20日 评论:

x86_64架构构建及构建后检查:multiarch/src-openeuler/x86-64/git-lfs/9/console

likedislike
openeuler-ci-bot
openeuler-ci-bot成员
4月20日 评论:

aarch64架构构建及构建后检查:multiarch/src-openeuler/aarch64/git-lfs/9/console

likedislike
openeuler-ci-botopeneuler-ci-bot成员
4月20日 删除了label:ci_processing
openeuler-ci-bot
openeuler-ci-bot成员
4月20日 评论:
Check Name Build Result Build Details
check_binary_file SUCCESS #9
check_package_yaml_file SUCCESS
check_repo_in_maintain SUCCESS
check_consistency SUCCESS
check_spec_file SUCCESS
x86_64 check_build FAILED #9
aarch64 check_build FAILED #9
likedislike
openeuler-ci-botopeneuler-ci-bot成员
4月20日 添加了label:ci_failed
openeuler-ci-bot
openeuler-ci-bot成员
4月20日 评论:
likedislike
zhouyizhouyi成员
6 天前 关闭了 pull request