GitHub выпустила исправления для устранения ошибки максимальной серьезности в корпоративном сервере GitHub (GHES), которая может позволить злоумышленнику обойти средства защиты от аутентификации.
Отслеживаемая как CVE-2024-4985 (оценка CVSS: 10.0), проблема может разрешать несанкционированный доступ к экземпляру без необходимости предварительной аутентификации.
"В инстансах, использующих аутентификацию SAML single sign-on (SSO) с дополнительной функцией зашифрованных утверждений, злоумышленник может подделать ответ SAML на предоставление и / или получить доступ к пользователю с правами администратора", - говорится в сообщении компании в рекомендации.
GHES - это автономная платформа для разработки программного обеспечения, позволяющая организациям хранить и создавать программное обеспечение с использованием контроля версий Git, а также автоматизировать конвейер развертывания.
Проблема затрагивает все версии GHES до версии 3.13.0 и была устранена в версиях 3.9.15, 3.10.12, 3.11.10 и 3.12.4.
Далее на GitHub отметили, что зашифрованные утверждения не включены по умолчанию и что ошибка не влияет на экземпляры, которые не используют SAML single sign-on (SSO) или те, которые используют аутентификацию SAML SSO без зашифрованных утверждений.
Зашифрованные утверждения позволяют администраторам сайта повысить безопасность экземпляра GHES с помощью единого входа SAML путем шифрования сообщений, отправляемых поставщиком идентификационных данных SAML (IdP) в процессе аутентификации.
Организациям, использующим уязвимую версию GHES, рекомендуется обновиться до последней версии для защиты от потенциальных угроз безопасности.
Отслеживаемая как CVE-2024-4985 (оценка CVSS: 10.0), проблема может разрешать несанкционированный доступ к экземпляру без необходимости предварительной аутентификации.
"В инстансах, использующих аутентификацию SAML single sign-on (SSO) с дополнительной функцией зашифрованных утверждений, злоумышленник может подделать ответ SAML на предоставление и / или получить доступ к пользователю с правами администратора", - говорится в сообщении компании в рекомендации.
GHES - это автономная платформа для разработки программного обеспечения, позволяющая организациям хранить и создавать программное обеспечение с использованием контроля версий Git, а также автоматизировать конвейер развертывания.
Проблема затрагивает все версии GHES до версии 3.13.0 и была устранена в версиях 3.9.15, 3.10.12, 3.11.10 и 3.12.4.
Далее на GitHub отметили, что зашифрованные утверждения не включены по умолчанию и что ошибка не влияет на экземпляры, которые не используют SAML single sign-on (SSO) или те, которые используют аутентификацию SAML SSO без зашифрованных утверждений.
Зашифрованные утверждения позволяют администраторам сайта повысить безопасность экземпляра GHES с помощью единого входа SAML путем шифрования сообщений, отправляемых поставщиком идентификационных данных SAML (IdP) в процессе аутентификации.
Организациям, использующим уязвимую версию GHES, рекомендуется обновиться до последней версии для защиты от потенциальных угроз безопасности.
