CVE-2024-1369

Command injection w GitHub Enterprise Server — przejęcie dostępu SSH admina

CVSS 9.1v3.1pub. 2024-02-13upd. 2024-11-21

W GitHub Enterprise Server wykryto podatność typu command injection, umożliwiającą atakującemu z rolą edytora w Management Console uzyskanie uprzywilejowanego dostępu SSH do urządzenia. Podatność jest szczególnie groźna, ponieważ jej wykorzystanie skutkuje pełną kontrolą administracyjną nad instancją serwera.

▸ Pokaż oryginał (EN)

A command injection vulnerability was identified in GitHub Enterprise Server that allowed an attacker with an editor role in the Management Console to gain admin SSH access to the appliance when setting the username and password for collectd configurations. Exploitation of this vulnerability required access to the GitHub Enterprise Server instance and access to the Management Console with the editor role. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.12 and was fixed in versions 3.11.5, 3.10.7, 3.9.10, and 3.8.15. This vulnerability was reported via the GitHub Bug Bounty program https://bounty.github.com .

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych wejściowych (CWE-20) przy konfiguracji usługi collectd w Management Console. Atakujący, posiadający rolę edytora, może wstrzyknąć złośliwe polecenia systemowe (CWE-77) poprzez pola nazwy użytkownika lub hasła w konfiguracji collectd. W wyniku tego działania możliwe jest uzyskanie dostępu SSH z uprawnieniami administratora do całej instancji GitHub Enterprise Server.

Skutki

Atakujący może uzyskać pełny dostęp administracyjny (admin SSH) do instancji GitHub Enterprise Server, co umożliwia przejęcie kontroli nad serwerem, dostęp do przechowywanych repozytoriów oraz danych użytkowników.

Mitygacja

Należy zaktualizować GitHub Enterprise Server do wersji 3.11.5, 3.10.7, 3.9.10 lub 3.8.15 (w zależności od używanej gałęzi). Dodatkowo zaleca się ograniczenie dostępu do Management Console wyłącznie do zaufanych użytkowników oraz regularny przegląd przypisanych ról, w szczególności roli edytora.