PT-2025-4866 · Github · Github Enterprise Server
Hakivvi
·
Publicado
2025-01-21
·
Atualizado
2025-09-05
·
CVE-2025-23369
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do GitHub Enterprise Server anteriores a 3.12.14
Versões do GitHub Enterprise Server anteriores a 3.13.10
Versões do GitHub Enterprise Server anteriores a 3.14.7
Versões do GitHub Enterprise Server anteriores a 3.15.2
Versões do GitHub Enterprise Server anteriores a 3.16.0
Descrição
Uma vulnerabilidade de verificação inadequada de assinatura criptográfica foi identificada no GitHub Enterprise Server, permitindo a falsificação de assinatura para usuários internos não autorizados. Este problema afeta instâncias que utilizam single sign-on (SSO) SAML e onde o atacante é um usuário existente. Mais de 36.000 serviços estão potencialmente afetados. A vulnerabilidade pode ser explorada mediante o abuso de peculiaridades do libxml2 para contornar a autenticação SAML.
Recomendações
Versão do GitHub Enterprise Server anterior a 3.12.14: Atualize para a versão 3.12.14 ou posterior.
Versão do GitHub Enterprise Server anterior a 3.13.10: Atualize para a versão 3.13.10 ou posterior.
Versão do GitHub Enterprise Server anterior a 3.14.7: Atualize para a versão 3.14.7 ou posterior.
Versão do GitHub Enterprise Server anterior a 3.15.2: Atualize para a versão 3.15.2 ou posterior.
Versão do GitHub Enterprise Server anterior a 3.16.0: Atualize para a versão 3.16.0 ou posterior.
Como solução temporária, considere restringir o acesso à autenticação SAML até que um patch seja aplicado.
Exploit
Correção
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Github Enterprise Server