Github Enterprise Server: Sicherheitslücke verleiht Angreifern Admin-Zugriff
Im Github Enterprise Server (GHES) klafft eine kritische Sicherheitslücke, die es Angreifern erlaubt, die Authentifizierung anfälliger Instanzen zu umgehen und sich einen Admin-Zugriff mit uneingeschränktem Zugang zu allen Inhalten zu verschaffen. Die Schwachstelle ist als CVE-2024-4985(öffnet im neuen Fenster) registriert und erreicht mit einem maximal möglichen CVSS-Score von 10 den höchsten Schweregrad. Betroffen sind alle GHES-Versionen vor 3.13.0.
Damit die Sicherheitslücke ausgenutzt werden kann, muss auf der jeweiligen Zielinstanz die Authentifizierung via SAML-Single-Sign-On (SSO) aktiviert sein, zusammen mit der optionalen Encrypted-Assertions-Funktion(öffnet im neuen Fenster) . Laut Github kann ein Angreifer unter diesen Bedingungen eine gefälschte SAML-Antwort an den Server übermitteln und dadurch einen bestehenden Admin-Nutzer übernehmen oder einen solchen neu erstellen.
Github betont, dass verschlüsselte Assertionen standardmäßig nicht aktiviert sind, so dass die Sicherheitslücke nur jene Server betrifft, auf denen der zuständige Administrator die Funktion selbst aktiviert hat. "Instanzen, die SAML SSO nicht verwenden oder die SAML-SSO-Authentifizierung ohne verschlüsselte Assertionen einsetzen, sind nicht betroffen" , so der Entwickler.
Patches stehen bereit
Um die Sicherheitslücke zu schließen, hat Github am 20. Mai Patches für mehrere GHES-Versionen veröffentlicht: 3.12.4(öffnet im neuen Fenster) , 3.11.10(öffnet im neuen Fenster) , 3.10.12(öffnet im neuen Fenster) und 3.9.15(öffnet im neuen Fenster) . Administratoren, die die SAML-SSO-Authentifizierung zusammen mit Encrypted Assertions aktiviert haben, wird dringend empfohlen, ihre Github-Enterprise-Server-Instanzen zu aktualisieren. Ob Cyberkriminelle die Schwachstelle bereits aktiv ausnutzen, ist unklar, jedoch dürfte dies angesichts des hohen Schweregrades nur eine Frage der Zeit sein.
Gemeldet wurde CVE-2024-4985 laut Github über das Bug-Bounty-Programm des Unternehmens. Wie hoch die Belohnung für den Entdecker der Schwachstelle ausfiel, erklärt Github nicht. Da die Sicherheitslücke als kritisch eingestuft ist, dürfte er der Webseite des Programms(öffnet im neuen Fenster) zufolge jedoch mindestens 20.000 US-Dollar erhalten haben.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.