GitHub публикува спешна поправка на тройка дефекти в сигурността на продукта GitHub Enterprise Server и предупреди, че хакерите могат да се възползват от един от недостатъците, за да получат привилегии на администратор на сайта.
Най-сериозният проблем се проследява като CVE-2024-6800 и обхваща уязвимост, която позволява на нападател да манипулира SAML SSO удостоверяването, за да осигури и/или получи достъп до потребителски акаунт с привилегии на администратор на сайта.
Уязвимостта носи оценка за сериозност по CVSS от 9,5/10 и е описана като грешка в опаковането на XML подпис в GitHub Enterprise Server (GHES) при използване на SAML удостоверяване с конкретни доставчици на идентичност.
„Тази уязвимост позволява на нападател с директен мрежов достъп до GitHub Enterprise Server да подправи SAML отговор, за да осигури и/или получи достъп до потребител с привилегии на администратор на сайта. Използването на тази уязвимост би позволило неоторизиран достъп до инстанцията, без да се изисква предварителна автентикация“, се казва в консултацията.
GitHub заяви, че уязвимостта, съобщена частно чрез програмата за награди за грешки, засяга всички версии на GitHub Enterprise Server преди 3.14 и е поправена във версии 3.13.3, 3.12.8, 3.11.14 и 3.10.16.
Компанията също така документира двойка пропуски със средна степен на опасност, които позволяват на атакуващите да актуализират заглавието, получателите и етикетите на всеки проблем в публично хранилище; и да разкрият съдържанието на проблем от частно хранилище, като използват приложение на GitHub с права само за съдържание: четене и заявки за изтегляне: запис.
GitHub Enterprise Server е самостоятелно хостваната версия на GitHub Enterprise. Тя се инсталира на място или в частен облак и предоставя функциите на базираната в облака версия на GitHub, включително заявки за изтегляне, прегледи на кода и инструменти за управление на проекти.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
