CVE-2024-6800 (CVSS 9.5): Critical GitHub Enterprise Server Flaw Patched, Admin Access at Risk
2024/08/20 SecurityOnline — 先日に GitHub が公表したのは、GitHub Enterprise Server (GHES) に存在する、複数のセキュリティ脆弱性に関するアドバイザリである。それらの脆弱性 CVE-2024-6800／CVE-2024-6337／CVE-2024-7711 については、最新のセキュリティ・パッチにおいて、すでに対処されている。
CVE-2024-6800 (CVSSv4 9.5)：GHES の SAML 認証メカニズムに存在する、不適切な認証の脆弱性。ネットワークに直接アクセスできる攻撃者が、SAML 応答を偽造することで、この脆弱性の悪用を達成し、サイト管理者権限を付与する機会を得る。それにより、認証プロセス全体がバイパスされ、インスタンスが侵害される可能性が高まる。
CVE-2024-6337 (CVSSv4 5.9)：この脆弱性の悪用に成功した攻撃者は、GitHub アプリのアクセス権限を制限することで、プライベート・リポジトリ内の issue コンテンツの読み取りを可能にする。それは、意図されたアクセス制御に対して、明らかに違反するものである。この悪用の前提として、ユーザー・アクセス・トークンが必要となるが、深刻なプライバシー侵害であることに変わりはない。
CVE-2024-7711 (CVSSv4 5.3)：この脆弱性の悪用に成功した攻撃者は、公開リポジトリ内の課題タイトル／担当者／ラベルの変更を可能にする。この脆弱性の深刻度は低いが、ワークフローにおいて混乱を引き起こす可能性がある。
すべての脆弱性は、GHES 3.14 未満に影響するものであり、最新のセキュリティ・アップデートで対処されている。ユーザーに対して推奨されるのは、直ちにアップデートを行い、悪用のリスクを軽減することだ。
より詳細な情報と、必要なパッチ適用の手順については、公式の GitHub セキュリティ・アドバイザリ (3.13.3／3.12.8／3.11.14／3.10.16) で確認できる。
GitHub Enterprise Server おける複数の脆弱性が FIX とのことですが、その中では、認証バイパスの CVE-2024-6800 の CVSS 値が高く、悪用されると甚大な被害にいたりそうです。ご利用のチームは、アップデートを お急ぎください。よろしければ、GitHub で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.