「GitHub Enterprise Server」に10件の脆弱性 - アップデートで修正

GitHubは、現地時間2月13日に複数の脆弱性に対処した「GitHub Enterprise Server」のアップデート「同3.11.5」「同3.10.7」「同3.9.10」「同3.8.15」をリリースした。

セキュリティに関する修正を行っており、「同3.11.5」「同3.10.7」「同3.9.10」についてはCVEベースで10件、「同3.8.15」では「CVE-2024-1482」を除く9件の脆弱性に対応している。

開発チームでは、9件について重要度を「高（High）」、1件については「中（Medium）」とレーティングした。またCVE番号は採番されていないが、重要度が「低（Low）」とされる問題を解決している。いずれもバグ報奨金プログラムを通じて報告されたという。

個々の脆弱性を見ると、コマンドインジェクションの脆弱性「CVE-2024-1355」「CVE-2024-1359」「CVE-2024-1369」「CVE-2024-1372」「CVE-2024-1374」「CVE-2024-1378」の6件については、いずれも共通脆弱性評価システム「CVSSv3.1」のベーススコアが「9.1」と評価されており、重要度は「クリティカル（Critical）」となっている。悪用には管理コンソールにおける編集者が必要だという。

同じくコマンドインジェクションの脆弱性「CVE-2024-1354」についてはCVSS基本値を「8.0」、認証の不備「CVE-2024-1482」については「7.1」としており、ともに重要度は「高（High）」。のこる2件については「中（Medium）」とされている。

今回修正された脆弱性は以下のとおり。

CVE-2024-1082
CVE-2024-1084
CVE-2024-1354
CVE-2024-1355
CVE-2024-1359
CVE-2024-1369
CVE-2024-1372
CVE-2024-1374
CVE-2024-1378
CVE-2024-1482

（Security NEXT - 2024/02/20 ） ツイート

PR

関連記事

「EC-CUBE」の公式決済プラグインに緊急脆弱性 - すでに悪用も
米当局、悪用が確認された脆弱性2件について注意喚起
「HAProxy Data Plane API」に認証バイパスの深刻な脆弱性
国産WAF「SiteGuard Server Edition」に脆弱性 - 悪用も確認
IvantiのVPN製品に脆弱性 - 未修正ブランチでゼロデイ攻撃
MS、月例更新で1400件以上の脆弱性に対応 - 一部悪用も
「Drupal」に脆弱性、アップデートの公開を予告 - サイト管理者は準備を
Fortinet、アドバイザリ11件を公開 - 「FortiSandbox」「FortiSIEM」にクリティカル
ブラウザ「Chrome」にアップデート - 脆弱性37件に対応
県サイト公開の障害者雇用参加企業一覧に個人情報 - 神奈川県