「GitHub Enterprise Server」に脆弱性 - アップデートを公開

GitHubは、企業向け製品「GitHub Enterprise Server（GHES）」のセキュリティアップデートを公開した。バグのほか脆弱性の修正なども行っている。

「pre-receiveフック」機能を悪用することで任意のコードを実行し、システムの侵害や権限の昇格が可能となる脆弱性「CVE-2025-3509」が明らかとなったもの。バグ報奨金プログラムを通じて報告された。

サイトの管理者権限やリポジトリ編集の権限を必要とし、ホットパッチの適用中など特定の条件下でのみ悪用が可能だが、動的に割り当てられたポートを一時的に占有し、不正な処理を行うことが可能となるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「7.1」、重要度は「高（High）」とレーティングされている。

同社は「GitHub Enterprise Server 3.17.1」「同3.16.4」「同3.15.8」「同3.14.13」「同3.13.16」にてバグなどとともに同脆弱性を修正。アップデートを呼びかけている。

（Security NEXT - 2025/06/27 ） ツイート

PR

関連記事

「Cisco IOS/IOS XE」に脆弱性 - すでに悪用やPoC公開も
Cisco製FWやOSにクリティカル脆弱性 - すでに攻撃試行も
「Cisco ASA」狙うゼロデイ攻撃、5月に複数政府機関で確認
Fortraのファイル転送ソフト「GoAnywhere MFT」に深刻な脆弱性
「MS Edge」にアップデート - ゼロデイ脆弱性を解消
「SolarWinds WHD」に深刻な脆弱性 - 過去の修正をバイパス
「Chrome」にアップデート - 「V8」に関する脆弱性3件を修正
「MS Edge」の脆弱性3件を修正 - 一部「クリティカル」との評価も
GitLabがセキュリティアップデート - 脆弱性9件を修正
ホスティング管理ツール「Control Web Panel」にRCE脆弱性