Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi s rolou správcu je umožnené získať prístup k SSH root účtu prostredníctvom vzdialeného spustenia kódu [1].

Zraniteľnosť sa nachádza v produkte:

• GitHub Enterprise Server; >=3.8.0, <3.12.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-2469 na cve.org, NVD
• CWE-20 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 3. 2024.

Autentizovanému vzdialenému útočníkovi s rolou editora v konzole na správu je umožnené získať administrátorský SSH prístup k zariadeniu pri konfigurácii nastavení GeoJSON [2].

Zraniteľnosť sa nachádza v produkte:

• GitHub Enterprise Server; <3.8.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-2443 na cve.org, NVD
• CWE-20 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 3. 2024.

Útočníkovi je prostredníctvom mutácie jazyka GraphQL a zmeny oprávnení úložiska umožnené udržať si administrátorský prístup k už odpojenému úložisku [3].

Zraniteľnosť sa nachádza v produkte:

• GitHub Enterprise Server;

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-2440 na cve.org, NVD
• CWE-732 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 3. 2024.

Neautentizovanému vzdialenému útočníkovi je prostredníctvom mutácie jazyka GraphQL umožnené vykonať útoky Cross-Site Request Forgery (CSRF) a vykonávať neoprávnené akcie v mene používateľa [4].

Zraniteľnosť sa nachádza v produkte:

• GitHub Enterprise Server; ==3.12.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Viac informácií:

• CVE-2024-2748 na cve.org, NVD
• CWE-352 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 3. 2024.