Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi s rolou editora v konzole na správu je umožnené získať administrátorský SSH prístup k inštancii počas konfigurácie integrácie chatu [2].

Zraniteľnosť sa nachádza v produkte:

• GitHub Enterprise Server; <3.12.2; <3.11.8; <3.10.10; <3.9.13

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-3646 na cve.org, NVD
• CWE-20 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 4. 2024.

Autentizovanému vzdialenému útočníkovi s rolou editora v konzole na správu je umožnené získať SSH prístup k inštancii použitím škodlivého príkazu počas konfigurácie úložísk artefaktov, protokolov a migrácií [3].

Zraniteľnosť sa nachádza v produkte:

• GitHub Enterprise Server; <3.12.2; <3.11.8; <3.10.10; <3.9.13

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-3684 na cve.org, NVD
• CWE-88 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 4. 2024.

Autentizovanému vzdialenému útočníkovi s deploy kľúčom pre úložisko vlastnené organizáciou je umožnené obísť sadu pravidiel určených správcom organizácie [4].

Zraniteľnosť sa nachádza v produkte:

• GitHub Enterprise Server; <3.12.2; <3.11.8; <3.10.10; <3.9.13

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:H/A:H

Viac informácií:

• CVE-2024-3470 na cve.org, NVD
• CWE-269 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 4. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené udržať si prístup správcu k odpojenému úložisku v dôsledku "race condition" tým, že vykoná mutáciu jazyka GraphQL, ktorá zmení oprávnenia úložiska, zatiaľ čo je úložisko odpojené [5].

Zraniteľnosť sa nachádza v produkte:

• GitHub Enterprise Server; <3.12.2; <3.11.8; <3.10.10; <3.9.13

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:H/A:L

Viac informácií:

• CVE-2024-2440 na cve.org, NVD
• CWE-367 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 4. 2024.