GitHub publikuje aktualizacje dla swoich produktów. (P26-157)

utworzone przez | kwi 27, 2026 | Aktualizacje

ProduktGitHub Enterprise Server – wersje 3.20.x wcześniejsze niż 3.20.1
GitHub Enterprise Server – wersje 3.19.x wcześniejsze niż 3.19.5
GitHub Enterprise Server – wersje 3.18.x wcześniejsze niż 3.18.8
GitHub Enterprise Server – wersje 3.17.x wcześniejsze niż 3.17.14
GitHub Enterprise Server – wersje 3.16.x wcześniejsze niż 3.16.17
Numer CVECVE-2026-5845
Krytyczność7.2/10
CVSSAV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N
OpisLuka w zabezpieczeniach dotycząca nieprawidłowej autoryzacji w autoryzacji tokenów użytkownik-serwer (ghu_) o ograniczonym zakresie w GitHub Enterprise Server umożliwia uwierzytelnionemu atakującemu dostęp do prywatnych repozytoriów poza przewidzianym zakresem instalacji, co może obejmować operacje zapisu, za pośrednictwem awaryjnego mechanizmu autoryzacji, który traktuje odwołaną/usuniętą instalację jako globalny kontekst instalacji. Może on być powiązany z momentem odwołania tokena i atrybucją push SSH w celu uzyskania i ponownego wykorzystania tokenu o ograniczonym zakresie ofiary.
  
Numer CVECVE-2026-5921
Krytyczność8.9/10
CVSSAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/E:P
OpisW systemie GitHub Enterprise Server zidentyfikowano lukę w zabezpieczeniach umożliwiającą fałszowanie żądań po stronie serwera (SSRF), która umożliwiała atakującemu wyodrębnienie poufnych zmiennych środowiskowych z instancji poprzez atak typu time-side-channel na usługę renderowania notatników. Po wyłączeniu trybu prywatnego przeglądarka notatników podążała za przekierowaniami HTTP bez ponownej walidacji hosta docelowego, umożliwiając nieuwierzytelnionemu SSRF dostęp do usług wewnętrznych. Łącząc to z zapytaniami filtrów wyrażeń regularnych skierowanymi do wewnętrznego interfejsu API i mierząc różnice w czasie odpowiedzi, atakujący mógł wywnioskować tajne wartości znak po znaku. Wykorzystanie luki wymagało wyłączenia trybu prywatnego i umożliwienia atakującemu połączenia otwartego punktu przekierowań instancji przez przekierowanie zewnętrzne w celu uzyskania dostępu do usług wewnętrznych.
  
Numer CVECVE-2026-4821
Krytyczność8.1/10
CVSSAV:L/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N
OpisW GitHub Enterprise Server zidentyfikowano lukę w zabezpieczeniach związaną z nieprawidłową neutralizacją elementów specjalnych, która umożliwiała uwierzytelnionemu administratorowi konsoli zarządzania wykonywanie dowolnych poleceń systemu operacyjnego poprzez wstrzykiwanie metaznaków powłoki w pola konfiguracji serwera proxy, takie jak http_proxy. Wykorzystanie tej luki wymagało dostępu do instancji GitHub Enterprise Server i uprawnień administratora do konsoli zarządzania.
  
Numer CVECVE-2026-4296
Krytyczność7.4/10
CVSSAV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
OpisW systemie GitHub Enterprise Server zidentyfikowano lukę w zabezpieczeniach związaną z nieprawidłowym wyrażeniem regularnym, która umożliwiała atakującemu ominięcie walidacji przekierowania URI OAuth. Atakujący, znając zarejestrowany adres URL wywołania zwrotnego aplikacji OAuth, mógł stworzyć złośliwy link autoryzacyjny, który po kliknięciu przez ofiarę przekierowywał kod autoryzacyjny OAuth do domeny kontrolowanej przez atakującego. Mogło to umożliwić atakującemu uzyskanie nieautoryzowanego dostępu do konta ofiary z zakresami przyznanymi aplikacji OAuth.
  
Numer CVECVE-2026-3307
Krytyczność5.3/10
CVSSAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
OpisW systemie GitHub Enterprise Server zidentyfikowano lukę w zabezpieczeniach umożliwiającą obejście autoryzacji, która umożliwiała atakującemu z dostępem administracyjnym do jednego repozytorium modyfikację listy recenzentów z delegowanym obejściem ochrony push w ramach skanowania poufnych informacji w innym repozytorium poprzez manipulację parametrem owner_id w treści żądania. Autoryzacja została zweryfikowana względem repozytorium podanego w adresie URL, ale działanie zostało zastosowane do innego repozytorium określonego w treści żądania. Wpływ ogranicza się do przypisania istniejących zaufanych użytkowników jako recenzentów obejścia autoryzacji; nie pozwala to na dodawanie dowolnych użytkowników zewnętrznych.
  
Numer CVECVE-2026-5512
Krytyczność5.3/10
CVSSAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:L/SA:N
OpisW GitHub Enterprise Server zidentyfikowano lukę w zabezpieczeniach związaną z nieprawidłową autoryzacją, która umożliwiała uwierzytelnionemu atakującemu ustalenie nazw prywatnych repozytoriów na podstawie ich identyfikatorów numerycznych. Punkt końcowy API zasad przesyłania danych na urządzenia mobilne nie przeprowadził wstępnej kontroli autoryzacji, a komunikaty o błędach walidacji zawierały pełną nazwę repozytorium, do którego wywołujący nie miał dostępu.
  
Numer CVECVE-2026-1999
Krytyczność7.1/10
CVSSAV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:L/SC:L/SI:H/SA:N
OpisW systemie GitHub Enterprise Server zidentyfikowano lukę w zabezpieczeniach związaną z nieprawidłową autoryzacją, która umożliwiała atakującemu scalenie własnego żądania ściągnięcia (pull request) z repozytorium bez dostępu push, wykorzystując obejście autoryzacji w mutacji enable_auto_merge dla żądań ściągnięcia. Problem ten dotyczył tylko repozytoriów, które umożliwiają rozwidlanie, ponieważ atak polega na otwarciu żądania ściągnięcia z forka kontrolowanego przez atakującego do repozytorium docelowego. Wykorzystanie luki było możliwe tylko w określonych scenariuszach. Wymagało ono czystego statusu żądania ściągnięcia i dotyczyło wyłącznie gałęzi bez włączonych reguł ochrony gałęzi.
  
AktualizacjaTAK
Linkshttps://docs.github.com/en/enterprise-server@3.20/admin/release-notes
https://docs.github.com/en/enterprise-server@3.19/admin/release-notes
https://docs.github.com/en/enterprise-server@3.18/admin/release-notes
https://docs.github.com/en/enterprise-server@3.17/admin/release-notes