CVE-2026-3854

Nome do Software Vulnerável e Versões Afetadas GitHub Enterprise Server versões anteriores a 3.14.25 GitHub Enterprise Server versões anteriores a 3.15.20 GitHub Enterprise Server versões anteriores a 3.16.16 GitHub Enterprise Server versões anteriores a 3.17.13 GitHub Enterprise Server versões anteriores a 3.18.8 GitHub Enterprise Server versões anteriores a 3.19.4 GitHub Enterprise Server versões anteriores a 3.20.0

Description Uma neutralização inadequada de elementos especiais permite que um invasor autenticado com acesso de push a um repositório consiga a execução remota de código (RCE) na instância. Durante uma operação de git push, os valores de opção de push fornecidos pelo usuário não são sanitizados corretamente antes de serem incluídos nos cabeçalhos de serviço internos. Como o formato do cabeçalho interno utiliza um caractere delimitador (ponto e vírgula) que também pode aparecer na entrada do usuário, um invasor pode injetar campos de metadados adicionais.

A exploração técnica envolve uma cadeia de injeções no cabeçalho X-Stat para ignorar o sandboxing e executar código arbitrário via hooks de pré-recebimento. Especificamente, invasores podem manipular variáveis como rails env para escapar do sandbox, custom hooks dir para controlar a resolução de hooks e repo pre receive hooks para executar binários como /bin/bash. No GitHub Enterprise Server, isso pode levar ao comprometimento total do servidor, incluindo acesso a todos os repositórios hospedados e segredos internos. Em infraestruturas compartilhadas, isso poderia permitir a exposição cross-tenant de milhões de repositórios privados. Estima-se que aproximadamente 88% das instâncias acessíveis do GitHub Enterprise Server permaneciam sem patch no momento da divulgação pública.

Recommendations Atualize o GitHub Enterprise Server para a versão 3.14.25 ou superior. Atualize o GitHub Enterprise Server para a versão 3.15.20 ou superior. Atualize o GitHub Enterprise Server para a versão 3.16.16 ou superior. Atualize o GitHub Enterprise Server para a versão 3.17.13 ou superior. Atualize o GitHub Enterprise Server para a versão 3.18.8 ou superior. Atualize o GitHub Enterprise Server para a versão 3.19.4 ou superior. Atualize o GitHub Enterprise Server para a versão 3.20.0 ou superior. Como medida de mitigação temporária, evite usar git push com opções de push personalizadas (flag -o) até que o sistema seja atualizado.