VietNetwork.Vn

GitHub đã phát hành các bản sửa lỗi để giải quyết một bộ ba lỗi bảo mật ảnh hưởng đến sản phẩm Máy chủ doanh nghiệp của mình, bao gồm một lỗi nghiêm trọng có thể bị lạm dụng để giành đặc quyền của quản trị viên trang web.

Thiếu sót nghiêm trọng nhất đã được gán mã định danh CVE CVE-2024-6800 và có điểm CVSS là 9,5.


"Trên các phiên bản Máy chủ doanh nghiệp GitHub sử dụng xác thực đăng nhập một lần (SSO) SAML với các IdP cụ thể sử dụng XML siêu dữ liệu liên kết đã được ký công khai, kẻ tấn công có thể giả mạo phản hồi SAML để cung cấp và/hoặc giành quyền truy cập vào tài khoản người dùng với đặc quyền của quản trị viên trang web ", GitHub nói trong một lời khuyên.

Công ty con thuộc sở hữu của Microsoft cũng đã giải quyết được một số lỗi có mức độ nghiêm trọng trung bình:

• CVE-2024-7711 (điểm CVSS: 5.3) - Một lỗ hổng ủy quyền không chính xác có thể cho phép kẻ tấn công cập nhật tiêu đề, người được chuyển nhượng và nhãn của bất kỳ vấn đề nào bên trong kho lưu trữ công cộng.
• CVE-2024-6337 (điểm CVSS: 5,9) - Lỗ hổng ủy quyền không chính xác có thể cho phép kẻ tấn công truy cập nội dung vấn đề từ kho lưu trữ riêng tư bằng Ứng dụng GitHub chỉ có nội dung: yêu cầu đọc và kéo: quyền ghi.

Cả ba lỗ hổng bảo mật đều đã được xử lý trong các phiên bản GHES 3.13.3, 3.12.8, 3.11.14 và 3.10.16.

Trở lại vào tháng 5, GitHub cũng đã vá một lỗ hổng bảo mật nghiêm trọng (CVE-2024-4985, điểm CVSS: 10.0) có thể cho phép truy cập trái phép vào một phiên bản mà không yêu cầu xác thực trước.

Các tổ chức đang chạy phiên bản GHES tự lưu trữ dễ bị tấn công nên cập nhật lên phiên bản mới nhất để bảo vệ trước các mối đe dọa bảo mật tiềm ẩn.