Github Enterprise Server: Angreifer können Authentifizierung umgehen
Unter bestimmten Voraussetzungen sind unbefugte Zugriffe auf Github Enterprise Server möglich. Sicherheitsupdates sind verfügbar.
(Bild: Bild erstellt mit KI in Bing Designer durch heise online / dmk)
Admins, die Github-Instanzen mit Github Enterprise Server selbst hosten, sollten die zugrundeliegende Software zügig auf den aktuellen Stand bringen. Andernfalls können Angreifer unter anderem an einer "kritischen" Sicherheitslücke ansetzen.
Authentifizierung kaputt
Um Server abzusichern, stehen die abgesicherten Versionen 3.11.16, 3.12.10, 3.13.5 und 3.14.2 zum Download bereit. Ältere Ausgaben befinden sich nicht mehr im Support, an dieser Stelle ist ein Upgrade notwendig, um auch in Zukunft noch Sicherheitsupdates zu bekommen. Die kritische Schwachstelle (CVE-2024-9487) hat den Release Notes zufolge ihren Ursprung in einem Fix für eine ähnliche Lücke (CVE-2024-4985 "kritisch") aus Mai dieses Jahres.
Betroffen sind ausschließlich Instanzen, die zur Authentifizierung auf SAML SSO setzen. Außerdem muss die Funktion Encrypted Assertions aktiv sein, was den Entwicklern zufolge standardmäßig nicht der Fall ist. Obendrein benötigen Angreifer Netzwerkzugriff und eine signierte SAML Response. Sind diese Voraussetzungen erfüllt, können Angreifer aufgrund von unzureichenden Zertifikatsüberprüfungen die Authentifizierung umgehen. So sind unbefugte Zugriffe möglich.
Datenleck möglich
Darüber hinaus haben die Entwickler noch eine zweite Sicherheitslücke (CVE-2024-9539 "mittel") geschlossen. Wenn Opfer auf eine präparierte URL klicken, können Informationen leaken.
Die Github-Verantwortlichen geben an, dass beide Schwachstellen über das Github-Bug-Bounty-Programm eingereicht wurden. Ob es bereits Attacken gibt, ist derzeit nicht bekannt. Unklar bleibt auch, an welchen Parametern Admins bereits kompromittierte Server erkennen können.
(des)
