Die Schwachstelle ist ein Heap-Pufferüberlauf im Code für den Drei-Wege-Merge (xdiff) des Versionsverwaltungssystems Git. Beim Zusammenführen einer Datei berechnet Git zunächst die Gesamtgröße der Ausgabe, reserviert dafür einen Puffer und schreibt dann hinein. Diese Summe wurde in einer vorzeichenbehafteten 32-Bit-Ganzzahl gespeichert. Über das Attribut conflict-marker-size, das sich in einer eingecheckten .gitattributes-Datei beliebig groß setzen lässt, kann ein Angreifer mit einer kleinen Datei und vielen einzelnen Konflikten die Summe über vier Gigabyte treiben. Der Wert läuft dann über, der Puffer wird zu klein angelegt und Git schreibt vom Angreifer gesteuerte Daten über dessen Ende hinaus. Mindestens stürzt Git ab, darüber hinaus ist eine weitergehende Speicherkorruption möglich. Auslösen lässt sich das über jeden textuellen Drei-Wege-Merge, etwa mit merge, rebase, cherry-pick oder merge-tree. Besonders gefährdet sind Git-Hosting-Plattformen, die serverseitig die Mergebarkeit prüfen und dabei Attribute aus dem Repository lesen: Dort genügt es, einen Branch zu pushen und einen Pull- oder Merge-Request zu öffnen.