GitHub a publié des correctifs pour résoudre un ensemble de trois failles de sécurité affectant son produit Enterprise Server, dont un bug critique qui pourrait être exploité pour obtenir des privilèges d’administrateur de site.
La plus grave des lacunes a été attribuée à l’identifiant CVE CVE-2024-6800 et porte un score CVSS de 9,5.
« Sur les instances GitHub Enterprise Server qui utilisent l’authentification unique (SSO) SAML avec des IdP spécifiques utilisant des métadonnées de fédération signées XML exposées publiquement, un attaquant pourrait falsifier une réponse SAML pour provisionner et/ou accéder à un compte utilisateur avec des privilèges d’administrateur de site », GitHub dit dans un avis consultatif.
La filiale appartenant à Microsoft a également corrigé une paire de failles de gravité moyenne :
- CVE-2024-7711 (score CVSS : 5,3) – Une vulnérabilité d’autorisation incorrecte qui pourrait permettre à un attaquant de mettre à jour le titre, les responsables et les étiquettes de n’importe quel problème dans un référentiel public.
- CVE-2024-6337 (score CVSS : 5,9) – Une vulnérabilité d’autorisation incorrecte qui pourrait permettre à un attaquant d’accéder au contenu d’un problème à partir d’un référentiel privé à l’aide d’une application GitHub avec uniquement des autorisations de lecture : contenu et d’écriture : demandes d’extraction.
Les trois vulnérabilités de sécurité ont été adressé dans les versions GHES 3.13.3, 3.12.8, 3.11.14 et 3.10.16.
En mai, GitHub a également corrigé une vulnérabilité de sécurité critique (CVE-2024-4985, score CVSS : 10,0) qui pouvait permettre un accès non autorisé à une instance sans nécessiter d’authentification préalable.
Il est fortement conseillé aux organisations qui exécutent une version auto-hébergée vulnérable de GHES de mettre à jour vers la dernière version pour se protéger contre les menaces de sécurité potentielles.