「GitHub Enterprise Server」に複数脆弱性 - アップデートが公開

GitHubは、「GitHub Enterprise Server」のセキュリティアップデートをリリースした。複数の脆弱性やバグを解消している。

バージョンによって影響を受ける脆弱性は異なるが、アップデートを通じて複数の脆弱性に対処したもの。「CVE-2024-2443」はコマンドインジェクションの脆弱性。管理コンソールの編集者ロールを持つ場合、特定環境下でアプライアンスに対し、管理者としてSSHによるアクセスが可能となる。

「CVE-2024-2469」は、管理者ロールを持つ場合にリモートよりコードを実行して、SSHでroot権限によるアクセスを取得することが可能だという。

いずれもバグ報奨金プログラムを通じて報告を受けたとしており、アップデートのリリースノートでは、脆弱性の重要度をともに4段階中、上から2番目にあたる「高（High）」とレーティングした。

一方「CVE-2024-2443」は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると「9.1」、重要度は「クリティカル（Critical）」とされており、リリースノートにおけるレーティングとギャップが見られる。

（Security NEXT - 2024/03/22 ）ツイート