「GitHub Enterprise Server」に脆弱性 - アップデートを公開

GitHubは、企業向け製品「GitHub Enterprise Server（GHES）」のセキュリティアップデートを公開した。バグのほか脆弱性の修正なども行っている。

「pre-receiveフック」機能を悪用することで任意のコードを実行し、システムの侵害や権限の昇格が可能となる脆弱性「CVE-2025-3509」が明らかとなったもの。バグ報奨金プログラムを通じて報告された。

サイトの管理者権限やリポジトリ編集の権限を必要とし、ホットパッチの適用中など特定の条件下でのみ悪用が可能だが、動的に割り当てられたポートを一時的に占有し、不正な処理を行うことが可能となるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「7.1」、重要度は「高（High）」とレーティングされている。

同社は「GitHub Enterprise Server 3.17.1」「同3.16.4」「同3.15.8」「同3.14.13」「同3.13.16」にてバグなどとともに同脆弱性を修正。アップデートを呼びかけている。

（Security NEXT - 2025/06/27 ） ツイート

PR

関連記事

米CISA、「AMI MegaRAC SPx」や「FortiOS」の既知脆弱性悪用を警告
「Firefox 140」がリリース - 脆弱性13件を解消
「FortiOS」などFortinet複数製品に脆弱性 - アップデートを
「Cisco ISE」に深刻な脆弱性、root権限奪取も - 修正版を公開
「NetScaler ADC/Gateway」にゼロデイ脆弱性 - 早急に更新を
「Kibana」に深刻な脆弱性 - 「Chromium」の既知脆弱性に起因
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
Gitサーバ「Gogs」にRCE脆弱性 - 過去の修正不備に起因
「Chrome 138」を公開 - 11件のセキュリティ修正
「WinRAR」にディレクトリトラバーサルの脆弱性 - 修正版を公開