PT-2022-27794 · Github · Github Enterprise Server

Yvvdwf · Publicado 2022-12-14 · Atualizado 2022-12-16 · CVE-2022-46255

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

GitHub Enterprise Server versão 3.7.0

Descrição

Foi identificada uma limitação inadequada do caminho de acesso a um diretório restrito, permitindo a execução remota de código. Foi adicionada uma verificação no Pages para garantir que o diretório de trabalho esteja vazio antes de descompactar novos conteúdos, evitando um bug de sobrescrita arbitrária de arquivos. Este problema foi relatado por meio do programa GitHub Bug Bounty.

Recomendações

Para a versão 3.7.0, atualize para a versão 3.7.1 para resolver o problema. Como solução alternativa temporária, considere garantir que o diretório de trabalho esteja vazio antes de descompactar novos conteúdos para evitar a sobrescrita arbitrária de arquivos.

Correção

RCE

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-46255

Produtos afetados

Github Enterprise Server

Referências · 4

• https://osv.dev/vulnerability/CVE-2022-46255 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-46255 · Nota de Segurança
• https://docs.github.com/en/enterprise-server%403.7/admin/release-notes#3.7.1 · Nota
• https://t.me/cvenotify/39876 · Publicação no Telegram