Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitHub Enterprise Server opravuje kritickú zraniteľnosť
GitHub Enterprise Server opravuje kritickú zraniteľnosť umožňujúcu obchádzanie overovania. Oprava bola vydaná vo verziách 3.9.15 [1], 3.10.12 [2], 3.11.10 [3] a 3.12.4 [4].
V inštanciách, ktoré používajú SAML single sign-on (SSO) overovanie s voliteľnou funkciou šifrovaných potvrdení, je neautentizovanému vzdialenému útočníkovi umožnené sfalšovať odpoveď SAML a získať tak prístup k používateľovi s právami administrátora webu. Zneužitie tejto zraniteľnosti by umožnilo útočníkovi neoprávnený prístup k inštancii bez nutnosti predchádzajúceho overenia [5].
Zraniteľnosť sa nachádza v produkte:
- GitHub Enterprise Server; < 3.9.15; >=3.10.0, < 3.10.12; >=3.11.0, < 3.11.10; >=3.12.0, < 3.12.4
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-4985 na cve.org, NVD
- CWE-303 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 20. 5. 2024.
Odkazy
- [1] https://docs.github.com/en/enterprise-server@3.9/admin/release-notes#3.9.15
- [2] https://docs.github.com/en/enterprise-server@3.10/admin/release-notes#3.10.12
- [3] https://docs.github.com/en/enterprise-server@3.11/admin/release-notes#3.11.10
- [4] https://docs.github.com/en/enterprise-server@3.12/admin/release-notes#3.12.4
- [5] https://nvd.nist.gov/vuln/detail/CVE-2024-4985
Za CESNET, z.s.p.o. Michaela Jarošová dňa 27. 5. 2024.