「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正

GitHubは現地時間2025年4月17日、企業向け開発プラットフォーム「GitHub Enterprise Server（GHES）」のアップデートをリリースした。複数の脆弱性を修正している。

バージョンによって影響を受ける脆弱性は異なるが、今回のアップデートではCVEベースであわせて3件の脆弱性に対処した。

重要度が「クリティカル（Critical）」とされる脆弱性はなく、「高（High）」とされる脆弱性が2件。いずれもバグ報奨金プログラムを通じて報告されたという。

「pre-receive機能」の不備により、ホットパッチの適用中など特定の条件下で任意のコード実行が可能となる「CVE-2025-3509」が確認された。さらにマークダウンの数式記述においてクロスサイトスクリプティング（XSS）の脆弱性「CVE-2025-3246」が明らかになっている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2025-3509」が「7.1」、「CVE-2025-3246」が「8.6」と評価されている。「CVE-2025-3246」については「同3.16.1」のみ影響を受ける。

このほか、重要度が「中（Medium）」とされる認可における検証不備の脆弱性「CVE-2025-3124」に対処した。同社では、脆弱性へ対処した「同3.16.2」「同3.15.6」「同3.14.11」「同3.13.14」をリリース。バグの修正なども実施している。

（Security NEXT - 2025/04/25 ）ツイート