PT-2026-24344 · Github · Github Enterprise Server

Sagi Tzadik · Publicado 2026-03-04 · Atualizado 2026-06-16 · CVE-2026-3854

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas GitHub Enterprise Server versões anteriores a 3.14.25 GitHub Enterprise Server versões anteriores a 3.15.20 GitHub Enterprise Server versões anteriores a 3.16.16 GitHub Enterprise Server versões anteriores a 3.17.13 GitHub Enterprise Server versões anteriores a 3.18.8 GitHub Enterprise Server versões anteriores a 3.19.4 GitHub Enterprise Server versões anteriores a 3.20.0

Description Uma neutralização inadequada de elementos especiais permite que um invasor autenticado com acesso de push a um repositório consiga a execução remota de código na instância. Durante uma operação de git push, os valores de opção de push fornecidos pelo usuário não são devidamente sanitizados antes de serem incluídos nos cabeçalhos de serviço internos. Especificamente, o proxy babeld incorpora essas opções no cabeçalho X-Stat sem sanitizar pontos e vírgulas (;), que servem como caracteres delimitadores. Isso permite que um invasor injete e substitua campos de metadados internos, como rails env, custom hooks dir e repo pre receive hooks, ignorando o sandbox e executando comandos arbitrários via hooks de pré-recebimento como o usuário do serviço git.

No GitHub Enterprise Server, isso pode levar ao comprometimento total do servidor, incluindo acesso a todos os repositórios hospedados e segredos internos. Na plataforma em nuvem, o problema permitiu a execução remota de código em nós de armazenamento compartilhado, expondo potencialmente milhões de repositórios públicos e privados por meio de exposição cross-tenant. Investigações forenses não encontraram evidências de exploração no mundo real antes da correção.

Recommendations Atualize para a versão 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.8, 3.19.4, 3.20.0 ou superior. Como medida paliativa temporária, evite executar operações de git push, especialmente aquelas que utilizam a flag -o ou opções de push personalizadas, até que o sistema seja atualizado.

Correção

RCE

LPE

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

BDU:2026-06062

CVE-2026-3854

Produtos afetados

Github Enterprise Server

Referências · 290

• https://twitter.com/ZeroDayDevApp/status/2049276960057028674 · Publicação no Twitter
• https://twitter.com/it4int/status/2049223034884743437 · Publicação no Twitter
• https://twitter.com/ORIntelligence/status/2049249879784882660 · Publicação no Twitter
• https://twitter.com/sagitz_/status/2049153195243372569 · Publicação no Twitter
• https://twitter.com/Dhanush_Nehru/status/2049201636208460071 · Publicação no Twitter
• https://twitter.com/nirmitkotadiya/status/2049529416339144941 · Publicação no Twitter
• https://twitter.com/UndercodeNews/status/2049243741307777329 · Publicação no Twitter
• https://docs.github.com/en/enterprise-server@3.15/admin/release-notes#3.15.20 · Nota
• https://twitter.com/BrainsMingle/status/2057141875895623838 · Publicação no Twitter
• https://twitter.com/manolomarcosp/status/2049477817411272749 · Publicação no Twitter
• https://t.me/CSIRT_italia/3437 · Publicação no Telegram
• https://twitter.com/GeorgeBevis/status/2053809926842220762 · Publicação no Twitter
• https://twitter.com/battista212/status/2049248904697274871 · Publicação no Twitter
• https://twitter.com/cyntelnext/status/2049213595150405784 · Publicação no Twitter
• https://twitter.com/GenAISpotlight/status/2049632472405520888 · Publicação no Twitter