Zraniteľnosť GitHub umožňuje vykonávať príkazy na serveri
Vývojári spoločnosti GitHub opravili vysoko závažnú zraniteľnosť na platformách GitHub Enterprise Server, GitHub Enterprise Cloud a github.com, ktorá umožňovala používateľom s oprávnením vykonávať príkaz git push vzdialene vykonávať ľubovoľné príkazy na hostiteľskom serveri.
Zraniteľné systémy:
- GitHub Enterprise Server verzie 3.14.0 až 3.14.24
- GitHub Enterprise Server verzie 3.15.0 až 3.15.19
- GitHub Enterprise Server verzie 3.16.0 až 3.16.15
- GitHub Enterprise Server verzie 3.17.0 až 3.17.12
- GitHub Enterprise Server verzie 3.18.0 až 3.18.6
- GitHub Enterprise Server verzie 3.19.0 až 3.19.3
- github.com
- GitHub Enterprise Cloud
- GitHub Enterprise Cloud with Data Residency
- GitHub Enterprise Cloud with Enterprise Managed Users
Opis činnosti:
CVE-2026-3854 (CVSS skóre 8,7)
Kritická zraniteľnosť v prostrediach GitHub súvisí s chýbajúcou sanitizáciou používateľských vstupov v rámci možností príkazu git push pri ich ďalšom spracovaní. Počas spracovania príkazu nedošlo ku neutralizácii špeciálneho oddeľovacieho znaku (;). Prihlásený používateľ s možnosťou vykonávania príkazov „git push“ tak mohol injektovať hodnoty, ktoré systém interpretoval ako dôveryhodné interné premenné. Týmto spôsobom mohol obísť sandboxing a vykonať ľubovoľné príkazy na serveri.
Možné škody:
- Vzdialené vykonávanie kódu
Odporúčania:
Bezodkladná aktualizácia GitHub Enterprise Server aspoň na verziu 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.7, 3.19.4 alebo 3.20.0.
Pre preverenie zneužitia zraniteľnosti na vašej inštancii preverte prítomnosť znaku „;“ v rámci možností príkazov git push v logoch /var/log/github-audit.log.
Webovú stránku a cloudové prostredia spoločnosť GitHub opravila hneď po nahlásení a overení zraniteľnosti a nie je potrebné vykonať žiadne dodatočné aktivity.
Odkazy: