PT-2024-7223 · Github · Github Enterprise Server

Păun Luca · Publicado 2024-10-04 · Atualizado 2024-11-15 · CVE-2024-9539

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.7

Média

Vetor base

AV:N/AC:H/AT:P/PR:L/UI:A/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do GitHub Enterprise Server anteriores à 3.14

GitHub Enterprise Server versão 3.14.2

GitHub Enterprise Server versão 3.13.5

GitHub Enterprise Server versão 3.12.10

GitHub Enterprise Server versão 3.11.16

Descrição

Foi identificada uma vulnerabilidade de divulgação de informações no GitHub Enterprise Server por meio de uma URL de recurso enviada por um invasor, permitindo que este recuperasse metadados de um usuário que clicasse na URL e os explorasse para criar uma página de phishing convincente. Para isso, o invasor precisava enviar arquivos SVG maliciosos e induzir a vítima a clicar na URL do recurso enviado.

Recomendações

Para versões do GitHub Enterprise Server anteriores à 3.14, atualize para a versão 3.14.2, 3.13.5, 3.12.10 ou 3.11.16 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso à URL do recurso carregado para minimizar o risco de exploração.

Evite usar arquivos SVG maliciosos no GitHub Enterprise Server afetado até que o problema seja resolvido.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BDU:2024-08562

CVE-2024-9539

Produtos afetados

Github Enterprise Server

Referências · 15

• https://t.me/cvenotify/97895 · Publicação no Telegram
• https://twitter.com/UndercodeNews/status/1857514824978325690 · Publicação no Twitter
• https://vuldb.com/?id.280130 · Nota
• https://docs.github.com/en/enterprise-server@3.12/admin/release-notes#3.12.10 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-9539 · Nota de Segurança
• https://docs.github.com/en/enterprise-server@3.13/admin/release-notes#3.13.5 · Nota
• https://twitter.com/transilienceai/status/1855839275943608669 · Publicação no Twitter
• https://twitter.com/Eth1calHackrZ/status/1847038630050803794 · Publicação no Twitter
• https://t.me/cvedetector/7723 · Publicação no Telegram
• https://twitter.com/transilienceai/status/1855839256045875503 · Publicação no Twitter
• https://docs.github.com/en/enterprise-server@3.11/admin/release-notes#3.11.16 · Nota
• https://docs.github.com/en/enterprise-server@3.14/admin/release-notes#3.14.2 · Nota
• https://osv.dev/vulnerability/CVE-2024-9539 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-08562 · Nota de Segurança
• https://t.me/true_secator/6325 · Publicação no Telegram