PT-2025-27576 · Github · Github Enterprise Server

Ammar Bandukwala + 1 · Publicado 2025-07-01 · Atualizado 2025-09-05 · CVE-2025-6600

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: GitHub Enterprise Server versão 3.17

Descrição: Foi identificado um problema de exposição de informações sensíveis que poderia permitir que um invasor divulgasse os nomes de repositórios privados dentro de uma organização. Esse problema poderia ser explorado utilizando um token de usuário para servidor sem escopos por meio do endpoint "Search API". A exploração bem-sucedida exigia que um administrador da organização instalasse um GitHub App malicioso nos repositórios da organização.

Recomendações: Para o GitHub Enterprise Server versão 3.17, atualize para a versão 3.17.2 para resolver o problema. Como medida paliativa temporária, considere restringir a instalação de GitHub Apps a fontes confiáveis até que a atualização seja aplicada. Restrinja o acesso ao endpoint da Search API para minimizar o risco de exploração.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2025-6600

Produtos afetados

Github Enterprise Server

Referências · 6

• https://twitter.com/VulmonFeeds/status/1940150889987129845 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-6600 · Nota de Segurança
• https://t.me/cveNotify/134408 · Publicação no Telegram
• https://docs.github.com/en/enterprise-server@3.17/admin/release-notes#3.17.2 · Nota
• https://osv.dev/vulnerability/CVE-2025-6600 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1940126553775517921 · Publicação no Twitter