[TLP:CLEAR] GitHub Enterprise Server opravuje 3 vysoce závažné zranitelnosti
GitHub Enterprise Server verzemi 3.11.17 [1], 3.12.14 [2], 3.13.10 [3], 3.14.7 [4] a 3.15.2 [5] opravuje 3 vysoce závažné zranitelnosti.
Autentizovanému vzdálenému útočníkovi je kvůli nedostatečné verifikaci kryptografických podpisů umožněno obejít SAML a neoprávněně zakládat uživatelské účty či přistupovat k instanci. Zranitelnost neovlivňuje instance, které nepoužívají SAML single sign-on, ani ty, kde útočník není již existujícím uživatelem [6][7]. PoC exploit a detaily ke zranitelnosti lze nalézt na [7][8].
Zranitelnost se nachází v produktu GitHub Enterprise Server ve verzích (>=3.12 AND <3.12.14) OR (>=3.13 AND <3.13.10) OR (>=3.14 AND <3.14.7) OR (>=3.15 AND <3.15.2).
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:L
Více informací:
- CVE-2025-23369 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-347: Improper Verification of Cryptographic Signature at cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 1. 2025.
Neautentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno vložit škodlivý kód do query selektoru skrze atribut identity v rámci zpracování zpráv a exfiltrovat potenciálně citlivá data, včetně autentizačních tokenů [9].
Zranitelnost se nachází v produktu GitHub Enterprise Server ve verzích (>=3.11 AND <3.11.17) OR (>=3.12 AND <3.12.11) OR (>=3.13 AND <3.13.6) OR (>=3.14 AND <3.14.3).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
Více informací:
- CVE-2024-10001 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-94: Improper Control of Generation of Code ('Code Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 29. 1. 2025.
Autentizovanému lokálnímu útočníkovi s Enterprise Administrator přístupem k instanci je skrze cestu "ghe-firejail" umožněno uniknout z kontejneru, eskalovat práva na root a spustit kód [10].
Zranitelnost se nachází v produktu GitHub Enterprise Server ve verzích (>=3.11 AND <3.11.17) OR (>=3.12 AND <3.12.11) OR (>=3.13 AND <3.13.6) OR (>=3.14 AND <3.14.3).
CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2024-10007 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-59: Improper Link Resolution Before File Access ('Link Following') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 11. 2024.
Odkazy
- [1] https://docs.github.com/en/enterprise-server@3.11/admin/release-notes#3.11.17
- [2] https://docs.github.com/en/enterprise-server@3.12/admin/release-notes#3.12.14
- [3] https://docs.github.com/en/enterprise-server@3.13/admin/release-notes#3.13.10
- [4] https://docs.github.com/en/enterprise-server@3.14/admin/release-notes#3.14.7
- [5] https://docs.github.com/en/enterprise-server@3.15/admin/release-notes#3.15.2
- [6] https://nvd.nist.gov/vuln/detail/CVE-2025-23369
- [7] https://projectdiscovery.io/blog/github-enterprise-saml-authentication-bypass
- [8] https://repzret.blogspot.com/2025/02/abusing-libxml2-quirks-to-bypass-saml.html
- [9] https://nvd.nist.gov/vuln/detail/CVE-2024-10001
- [10] https://nvd.nist.gov/vuln/detail/CVE-2024-10007
Za CESNET-CERTS Michaela Ručková dne 18. 2. 2025.
