GitHub 企业服务器中存在严重漏洞,可导致认证绕过
2024-5-22 17:38:50 Author: mp.weixin.qq.com(查看原文) 阅读量:9 收藏

 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士

GitHub 修复了位于GitHub 企业服务器 (GHES) 中的一个CVSS满分漏洞CVE-2024-4985,它可导致攻击者绕过认证防护措施。

CVE-2024-4985可使攻击者在无需提前认证的情况下,越权访问实例。该公司发布安全公告提到,“使用SAML单点登录认证的实例如具有可选的加密断言特性,则攻击者可伪造SAML响应以及/或者获得对具有管理员权限用户的访问权限。”

GHES 是一款用于软件开发的自托管平台,可使组织机构通过使用 Git 版本控制存储并构建软件以及自动化部署管道。该漏洞影响 GHES 3.13.0之前的版本,已在版本3.9.15、3.10.12、3.11.10和3.12.4中修复。

GitHub 提到,默认情况下加密断言并未启用,该缺陷并不影响未使用 SAML 单点登录或使用SAML单点登录认证但未配备加密断言的实例。加密断言可使站点管理员通过SAML单点登录的方式,加密 SAML 身份提供商在认证流程中发送的信息,改进 GHES 实例的安全性。建议使用易受攻击 GHES 版本的组织机构更新至最新版本,以免遭潜在安全威胁影响。

代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com

推荐阅读

GitHub 评论被滥用于推送恶意软件

供应链攻击滥用 GitHub 特性传播恶意软件

QNAP提醒注意NAS设备中严重的认证绕过漏洞

速修复!Fortra GoAnywhere MFT 中存在严重的认证绕过漏洞

VMware 披露严重的VCD Appliance认证绕过漏洞,无补丁

原文链接

https://thehackernews.com/2024/05/critical-github-enterprise-server-flaw.html

题图:Pexels License

本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错,就点个 “在看” 或 "” 吧~


文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247519550&idx=1&sn=c9df29fac4cc88482637824b11ada5e4&chksm=ea94bc54dde335421f9f83bbe6ae67441821408144a318140245acf73e69aa18472aa1fc98fc&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh