「GitHub Enterprise Server」に認証回避の深刻な脆弱性
「GitHub Enterprise Server(GHES)」に、管理者としてアクセスされるおそれがある深刻な脆弱性が明らかとなった。アップデートで修正されている。
「SAML」のシングルサインオン認証においてオプションのアサーション暗号化機能を有効化している場合、認証のバイパスが可能となる「CVE-2024-4985」が明らかとなったもの。
攻撃者が「SAML」のレスポンスを偽造して、サイト管理者権限を持つユーザーを作成し、アクセスすることが可能となるという。
GitHubでは、共通脆弱性評価システム「CVSSv4.0」においてベーススコアを最高値である「10.0」と評価。重要度を4段階中もっとも高い「クリティカル(Critical)」とレーティングしている。
バグ報奨金プログラムを通じて報告を受けたとしており、同社では現地時間5月20日に脆弱性を修正した「同3.12.4」「同3.11.10」「同3.10.12」「同3.9.15」をリリースした。利用者にアップデートを呼びかけている。
なお、「同3.9」系については6月29日にサポートが終了する予定。以降は脆弱性が判明してもアップデートが提供されないためあわせて注意が必要。
(Security NEXT - 2024/05/23 )
ツイート
関連リンク
PR
関連記事
熊本県農業サイトへのサイバー攻撃、詳細調査でDB侵害が判明
外部からサイバー攻撃、一部業務で遅延も - システムエグゼ
複数サーバでランサム被害、ECサイト運営などに影響 - はるやまHD
「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調
メッセージ保護アプリ「TM SGNL」の複数脆弱性、悪用リストに追加
県立高で奨学金申請希望一覧表を生徒に誤配付 - 新潟県
新規就農者向けの研修案内メールで誤送信 - 諫早市
ランサムウェア被害による個人情報流出を確認 - 日本セラミック
都校務支援システムに不具合 - 102校の健診データを誤登録して喪失
「NetScaler ADC」脆弱性、パッチ公開前から攻撃発生