「GitHub Enterprise Server」に脆弱性 - アップデートを公開

GitHubは、企業向け製品「GitHub Enterprise Server（GHES）」のセキュリティアップデートを公開した。バグのほか脆弱性の修正なども行っている。

「pre-receiveフック」機能を悪用することで任意のコードを実行し、システムの侵害や権限の昇格が可能となる脆弱性「CVE-2025-3509」が明らかとなったもの。バグ報奨金プログラムを通じて報告された。

サイトの管理者権限やリポジトリ編集の権限を必要とし、ホットパッチの適用中など特定の条件下でのみ悪用が可能だが、動的に割り当てられたポートを一時的に占有し、不正な処理を行うことが可能となるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「7.1」、重要度は「高（High）」とレーティングされている。

同社は「GitHub Enterprise Server 3.17.1」「同3.16.4」「同3.15.8」「同3.14.13」「同3.13.16」にてバグなどとともに同脆弱性を修正。アップデートを呼びかけている。

（Security NEXT - 2025/06/27 ） ツイート

PR

関連記事

脆弱性「Dirty Frag」が製品に与える影響を調査 - Fortinet
「Cisco Catalyst SD-WAN Manager」にゼロデイ脆弱性 - 悪用も確認
「Progress Kemp LoadMaster」にRCE脆弱性 - WAF回避のおそれも
「MOVEit WAF」に検知回避の深刻な脆弱性 - 早急な対策を
「Chrome」最新版で脆弱性429件を修正 - クリティカルは22件
「OpenStack Mistral」に脆弱性 - API認証ユーザーがコード実行可能
「Chrome 149」がリリース - セキュリティ情報は近日公開
「MLflow」にアクセスキーなど機密情報が流出する深刻な脆弱性
米当局、脆弱性3件を悪用カタログに追加 - 早期対応求める
「Cisco Unified CM」にクリティカル脆弱性 - 実証コードが公開済み