PT-2021-15242 · Github · Github Enterprise Server

CVE-2021-22869 · Publicado 2021-09-24 · Atualizado 2022-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 3.0.0 a 3.0.15 do GitHub Enterprise Server

Versões 3.1.0 a 3.1.7 do GitHub Enterprise Server

Descrição

Um problema de controle de acesso inadequado no GitHub Enterprise Server permitiu que uma tarefa de fluxo de trabalho fosse executada em um grupo de executores auto-hospedados ao qual não deveria ter acesso, afetando clientes que utilizam grupos de executores auto-hospedados para controle de acesso. Um repositório com acesso a um grupo de executores corporativos podia acessar todos os grupos de executores corporativos dentro da organização devido a verificações de autenticação inadequadas durante a solicitação, podendo causar a execução involuntária de código pelo grupo de executores incorreto.

Recomendações

Para as versões 3.0.0 a 3.0.15 do GitHub Enterprise Server, atualize para a versão 3.0.16 ou posterior para resolver o problema.

Para as versões 3.1.0 a 3.1.7 do GitHub Enterprise Server, atualize para a versão 3.1.8 ou posterior para resolver o problema.

Correção

Improper Authentication

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-287

CWE-668

Identificadores relacionados

CVE-2021-22869

Produtos afetados

Github Enterprise Server

Referências · 5

• https://t.me/cibsecurity/29403 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-22869 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-22869 · Aviso do Fabricante
• https://docs.github.com/en/enterprise-server%403.0/admin/release-notes#3.0.16 · Nota
• https://docs.github.com/en/enterprise-server%403.1/admin/release-notes#3.1.8 · Nota