「GitHub Enterprise Server」に脆弱性 - アップデートを公開

GitHubは、企業向け製品「GitHub Enterprise Server（GHES）」のセキュリティアップデートを公開した。バグのほか脆弱性の修正なども行っている。

「pre-receiveフック」機能を悪用することで任意のコードを実行し、システムの侵害や権限の昇格が可能となる脆弱性「CVE-2025-3509」が明らかとなったもの。バグ報奨金プログラムを通じて報告された。

サイトの管理者権限やリポジトリ編集の権限を必要とし、ホットパッチの適用中など特定の条件下でのみ悪用が可能だが、動的に割り当てられたポートを一時的に占有し、不正な処理を行うことが可能となるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「7.1」、重要度は「高（High）」とレーティングされている。

同社は「GitHub Enterprise Server 3.17.1」「同3.16.4」「同3.15.8」「同3.14.13」「同3.13.16」にてバグなどとともに同脆弱性を修正。アップデートを呼びかけている。

（Security NEXT - 2025/06/27 ）ツイート