PT-2024-39274 · Github · Github Enterprise Server

Ahacker1 · Publicado 2024-11-07 · Atualizado 2025-08-27 · CVE-2024-8810

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/S:P/AU:N/R:U/V:C/RE:L/U:Amber

Nome do software vulnerável e versões afetadas:

Versões do GitHub Enterprise Server anteriores à 3.14.1

Versões do GitHub Enterprise Server 3.13.4 e anteriores

Versões do GitHub Enterprise Server 3.12.9 e anteriores

Versões do GitHub Enterprise Server 3.11.15 e anteriores

Versões do GitHub Enterprise Server 3.10.17 e anteriores

Descrição:

Um aplicativo GitHub instalado em organizações poderia atualizar algumas permissões de acesso de leitura para gravação sem a aprovação de um administrador da organização. Um invasor precisaria de uma conta com acesso de administrador para instalar um aplicativo GitHub malicioso. Esta vulnerabilidade foi relatada por meio do programa GitHub Bug Bounty.

Recomendações:

Para versões do GitHub Enterprise Server anteriores à 3.14.1, atualize para a versão 3.14.1 ou posterior.

Para versões do GitHub Enterprise Server anteriores à 3.13.4, atualize para a versão 3.13.4 ou posterior.

Para versões do GitHub Enterprise Server anteriores à 3.12.9, atualize para a versão 3.12.9 ou posterior.

Para versões do GitHub Enterprise Server anteriores à 3.11.15, atualize para a versão 3.11.15 ou posterior.

Para versões do GitHub Enterprise Server anteriores à 3.10.17, atualize para a versão 3.10.17 ou posterior.

Correção

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2024-8810

Produtos afetados

Github Enterprise Server

Referências · 15

• https://docs.github.com/en/enterprise-server@3.11/admin/release-notes#3.11.15 · Nota
• https://docs.github.com/en/enterprise-server@3.14/admin/release-notes#3.14.1 · Nota
• https://docs.github.com/en/enterprise-server@3.12/admin/release-notes#3.12.9 · Nota
• https://twitter.com/VulmonFeeds/status/1854701056074121289 · Publicação no Twitter
• https://docs.github.com/en/enterprise-server@3.13/admin/release-notes#3.13.4 · Nota
• https://t.me/cveNotify/133722 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1854645300817809615 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1855839256045875503 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-8810 · Nota de Segurança
• https://twitter.com/transilienceai/status/1855839275943608669 · Publicação no Twitter
• https://t.me/cvedetector/10139 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-8810 · Aviso do Fabricante
• https://twitter.com/CCBalert/status/1854909023209873762 · Publicação no Twitter
• https://docs.github.com/en/enterprise-server@3.10/admin/release-notes#3.10.17 · Nota
• https://twitter.com/CVEnew/status/1854637217437589737 · Publicação no Twitter