Atualizações de Segurança do GitHub Enterprise Server (GHES)

O GitHub lançou atualizações de segurança para o GitHub Enterprise Server (GHES) visando a correção de múltiplos problemas, incluindo um erro crítico que poderia permitir o acesso não autorizado a uma instância.

Vulnerabilidade Crítica: CVE-2024-9487

A vulnerabilidade, identificada como CVE-2024-9487, possui uma pontuação de CVSS de 9.5 em uma escala máxima de 10.0. Segundo o próprio GitHub, “um atacante poderia contornar a autenticação SAML de autenticação única (SSO) com a funcionalidade opcional de asserções criptografadas, permitindo o provisionamento não autorizado de usuários e acesso à instância, explorando uma verificação inadequada das assinaturas criptográficas da vulnerabilidade no GitHub Enterprise Server.”

“Um atacante poderia contornar a autenticação SAML de autenticação única (SSO) … ao explorar uma verificação inadequada das assinaturas criptográficas.”

Caracterização da Falha

A empresa, que é de propriedade da Microsoft, caracterizou este erro como uma regressão que foi introduzida como parte de ações corretivas após a CVE-2024-4985 (pontuação CVSS: 10.0), uma vulnerabilidade de gravidade máxima que foi corrigida em maio de 2024.

Outras Vulnerabilidades Corrigidas

Além da vulnerabilidade CVE-2024-9487, o GitHub também corrigiu outras duas falhas:

• CVE-2024-9539 (pontuação CVSS: 5.7) – Uma vulnerabilidade de divulgação de informações que poderia permitir a um atacante recuperar metadados pertencentes a um usuário vitimado ao clicar em URLs malignos para ativos SVG.
• Exposição de dados sensíveis em formulários HTML no console de gerenciamento (sem CVE).

Versões de Correção

Todas as três vulnerabilidades de segurança foram abordadas nas versões 3.14.2, 3.13.5, 3.12.10 e 3.11.16 do GitHub Enterprise Server.

Recomendações para Usuários

Em agosto, o GitHub também corrigiu um defeito crítico de segurança (CVE-2024-6800, pontuação CVSS: 9.5) que poderia ser explorado para obter privilégios de administrador do site. Organizações que estão utilizando uma versão auto-hospedada vulnerável do GHES são altamente aconselhadas a atualizar para a versão mais recente para se proteger contra potenciais ameaças de segurança.

#GitHub #Segurança #Vulnerabilidade #CVE2024 #Tecnologia #Atualizações

Fonte:https://thehackernews.com/2024/10/github-patches-critical-flaw-in.html