GitHub Enterprise の深刻な脆弱性 CVE-2024-4985 (CVSS：10.0) が FIX：SAML SSO の利用に注意！

Critical GitHub Enterprise Server Flaw Allows Authentication Bypass

2024/05/21 TheHackerNews — GitHub Enterprise Server (GHES) に存在する、きわめて深刻な脆弱性を悪用する攻撃者により、認証保護のバイパスが生じる可能性があるとして、GitHub は修正プログラムを配布している。この脆弱性 CVE-2024-4985 (CVSS：10.0) は、事前の認証を必要とせずに、インスタンスへの不正アクセスを許してしまう可能性を持つものだ。

GitHub のアドバイザリには、「オプションの暗号化アサーション機能において、特に SAML SSO (single sign-on) を使用しているインスタンスにおいては、SAML レスポンスを偽造する攻撃者による、管理者権限を持つユーザーのプロビジョニングや、他ユーザーへのアクセスが生じる可能性がある」と記されているの。

GitHub Enterprise Server (GHES) は、ソフトウェア開発のためのセルフホスト・プラットフォームであり、Git バージョン・コントロールを介したソフトウェアの保存／ビルドや、デプロイメント・パイプラインの自動化などを、ユーザー組織に提供するものだ。

この問題は、GHES バージョン 3.13.0 以前に影響するものであり、バージョン 3.9.15／3.10.12／3.11.10／3.12.4 で対処されている。

GitHub は、暗号化されたアサーションはデフォルトでは無効化されており、SAML SSO を利用していないインスタンスには影響しないとしている。また、暗号化されたアサーションを利用せずに、SAML SSO 認証を使用しているインスタンスにも、影響は生じないと指摘している。

暗号化されたアサーションを利用するサイト管理者は、認証プロセス中に SAML ID プロバイダ (IdP) が送信するメッセージを暗号化することで、SAML SSO で GHES インスタンスのセキュリティを向上させることが可能だという。

GitHub の認証プロセスに、きわめて深刻な脆弱性が登場しました。いくつかの前提条件がありますが、それらに該当するチームも多いはずです。また、それらの条件について、どのような設定になっているのか、把握していないチームもあるはずです。ご確認と対応を、お急ぎください。よろしければ、GitHub で検索も、ご利用ください。