GitHub, Enterprise Server'daki Yetkisiz Erişime İzin Veren Kritik Güvenlik Açığını Giderdi

16.10.2024

GitHub, Enterprise Server (GHES) için yetkisiz erişime izin verebilecek bir güvenlik açığının da dahil olduğu birçok güvenlik açığını gidermek amacıyla kritik güncellemeler yayınladı. CVE-2024-9487 olarak izlenen en ciddi hata, etkilenen sistemler üzerindeki büyük etkisini gösteren 10 üzerinden 9.5 CVSS puanına sahip.

GitHub’a göre, bu güvenlik açığı, isteğe bağlı şifrelenmiş bildirimler özelliği kullanıldığında saldırganların SAML tek oturum açma (SSO) kimlik doğrulamasını atlatmasına olanak tanıyor. Bu atlatma, kriptografik imzaların yetersiz doğrulanmasından kaynaklanıyor ve yetkisiz kullanıcı oluşturma ve örneğe erişim sağlıyor. GitHub, bu hatayı, Mayıs 2024’te yamalanan, en yüksek ciddiyet puanına sahip CVE-2024-4985 sorununu düzeltirken ortaya çıkan bir gerileme olarak tanımladı.

CVE-2024-9487 dışında iki başka güvenlik açığı da giderildi. CVE-2024-9539 (CVSS puanı: 5.7), saldırganların kötü niyetli SVG varlık URL’lerine tıklatarak bir kullanıcının meta verilerini ele geçirmesine olanak tanıyan bir bilgi ifşası açığıdır. Yönetim konsolundaki HTML formlarında bulunan ve CVE atanmamış olan bir başka hassas veri açığı da giderildi.

Bu üç güvenlik açığı GHES sürümleri 3.14.2, 3.13.5, 3.12.10 ve 3.11.16’da çözüldü. GitHub, kullanıcılarını bu risklere karşı koruma sağlamak için sistemlerini hemen güncellemeye çağırdı.

Ağustos ayında GitHub, saldırganların site yöneticisi yetkilerine yükselmesine olanak tanıyan CVE-2024-6800 (CVSS puanı: 9.5) adlı kritik bir güvenlik açığını da düzeltmişti. Kendi kendine barındırılan savunmasız GHES sürümlerini kullanan kuruluşların bu güncellemeleri derhal uygulamaları şiddetle tavsiye edilmektedir.