GitHub Enterprise Server - kritična ranjivost
Dana 21. svibnja 2024. godine, tvrtka GitHub je objavila kritičnu ranjivost u instanci platforme GitHub Enterprise Server (GHES) koja utječe na instance koje koriste Security Assertion Markup Language (SAML) autentifikaciju putem metode jednokratne/jedinstvene prijave (engl. Single Sign-On - SSO) s enkriptiranim tvrdnjama. Ova ranjivost omogućuje napadačima krivotvorenje SAML odgovora, čime stječu neautorizirani administratorski pristup bez autentifikacije.
Javno su dostupni dokazi o konceptu (engl. Proof of Concept) iskorištavanja ranjivosti. Preporučuje se žurna nadogradnja zahvaćenih verzija proizvoda.
Tehnički detalji značajnih ranjivosti otklonjenih ovim ažuriranjem:
- Ranjivost CVE-2024-4985 (CVSS ocjena 10), odnosi se na SAML SSO s opcionalnom funkcijom enkriptiranih tvrdnji. Napadač može krivotvoriti SAML tvrdnju koja sadrži točne korisničke informacije. Kada GHES obradi lažnu SAML tvrdnju, ne može ispravno validirati njezin potpis, što omogućava napadaču pristup GHES instanci.
Zahvaćene su sljedeće verzije GitHub Enterprise Servera:
- 3.12.0 do 3.12.3;
- 3.11.0 do 3.11.9;
- 3.10.0 do 3.10.11;
- 3.9.0 do 3.9.14.
Zahvaćene su samo instance koje koriste SAML autentifikaciju putem SSO metode prijave.
Preporuke:
Preporučuje se žurno ažuriranje na najnoviju dostupnu inačicu.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://www.bleepingcomputer.com/news/security/github-warns-of-saml-auth-bypass-flaw-in-enterprise-server/
- https://github.com/absholi7ly/Bypass-authentication-GitHub-Enterprise-Server
- https://thehackernews.com/2024/05/critical-github-enterprise-server-flaw.html
[inicijalna objava: 24.05.2024 - 15:48]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima