Podatności GitHub Enterprise Server

Podatność typu server-side request forgery (SSRF) w przeglądarce notebooków GitHub Enterprise Server. Przeglądarka notebooków walidowała schemat i host adresu URL podanego przez użytkownika, ale nie walidowała portu, co pozwalało na kierowanie żądań do wewnętrznych usług nasłuchujących na innych portach tego samego urządzenia. Treści odpowiedzi nie były zwracane żądającemu, ale czas odpowiedzi działał jak wyrocznia, pozwalając na wydobycie sekretów instancji znak po znaku. Wydobyty sekret mógł być następnie użyty w osobnej interakcji z wewnętrzną usługą w celu uzyskania zdalnego wykonania kodu na urządzeniu. Eksploitacja wymagała dostępu sieciowego do instancji i była nieuwierzytelniona, gdy tryb prywatny był wyłączony, lub wymagała dowolnego uwierzytelnionego użytkownika, gdy tryb prywatny był włączony. Podatność dotyczyła wersji GitHub Enterprise Server od 3.17 do 3.22 i została naprawiona w wersjach 3.22.1, 3.21.6, 3.20.8, 3.19.12, 3.18.15 i 3.17.21. Podatność została zgłoszona przez program GitHub Bug Bounty.

GitHub Enterprise Server przed wersją 3.22 ma podatność path traversal, która pozwala nieuwierzytelnionemu atakującemu na usunięcie dowolnych plików i katalogów na instancji, w tym całego katalogu przechowywania użytkowników z obiektami Git LFS, zasobami wydań, załącznikami i awatarami. Wykorzystanie nagłówka X-GitHub-Request-Id bez sanityzacji jako ścieżki w systemie plików prowadzi do usunięcia danych.

GitHub Enterprise Server przed wersją 3.22 zawiera podatność SSRF w punkcie końcowym przesyłania plików, która pozwala nieuwierzytelnionemu atakującemu na wysyłanie spreparowanych żądań do wewnętrznych usług. Poprzez wstrzyknięcie ścieżki traversal w parametrach żądania można ominąć zamierzony przepływ i przekierować wewnętrzne wywołania API.

W GitHub Enterprise Server zidentyfikowano podatność nieprawidłowej neutralizacji danych wejściowych umożliwiającą DOM-based cross-site scripting poprzez filtr etykiet w wyszukiwaniu zgłoszeń (Issues). Może to prowadzić do eskalacji uprawnień i nieautoryzowanego uruchamiania workflow. Wymaga to dostępu do instancji oraz nakłonienia użytkownika w trybie sudo do kliknięcia spreparowanego linku.

W GitHub Enterprise Server zidentyfikowano podatność typu Server-Side Request Forgery (SSRF), która pozwalała współtwórcy repozytorium na wywołanie żądań do wewnętrznych hostów kontrolowanych przez atakującego, co mogło zostać połączone w łańcuch prowadzący do zdalnego wykonania kodu na urządzeniu. Walidator skanowania sekretów dla poświadczeń konta usługi GCP ufał punktowi końcowemu tokenu osadzonemu w zatwierdzonym poświadczeniu i wysyłał do niego żądanie bez ograniczenia miejsca docelowego. Eksploatacja wymagała uwierzytelnionego użytkownika z uprawnieniem do wypychania do repozytorium na instancji z włączonym GitHub Advanced Security i sprawdzaniem ważności skanowania sekretów (konfiguracja niebędąca domyślną). Podatność dotyczyła GitHub Enterprise Server 3.20, 3.21 i 3.22 i została naprawiona w wersjach 3.20.9, 3.21.7 i 3.22.2. Podatność została zgłoszona w ramach programu GitHub Bug Bounty.

W GitHub Enterprise Server występuje podatność braku autoryzacji, która pozwala współpracownikowi repozytorium z prawem zapisu usunąć bieżącą gałąź domyślną przez GraphQL API i uczynić gałąź kontrolowaną przez atakującego nową domyślną. W repozytoriach wymagających przeglądu pull requestów, ale nieograniczających usuwania gałęzi, omija to wymóg przeglądu i powoduje, że nowe klony oraz zapytania API używają treści kontrolowanych przez atakującego.

W GitHub Enterprise Server wykryto podatność na trwały cross-site scripting (XSS), która pozwala uwierzytelnionemu atakującemu na wstrzyknięcie dowolnych atrybutów HTML do renderowanego Markdown, ponieważ potok renderowania Markdown przepisywał znaki cudzysłowu w już zdezynfekowanym HTML bez ponownej dezynfekcji wyniku. Spreparowany Markdown mógł wykorzystać same-origin JavaScript gadgets do obejścia Content Security Policy i przejęcia kontroli nad DOM strony, gdy została wyświetlona przez innego użytkownika.

Podatność polegająca na obejściu autoryzacji w GitHub Enterprise Server umożliwia każdemu uwierzytelnionemu użytkownikowi instancji odczyt surowego diffa lub patchy pull requestów w prywatnych repozytoriach bez autoryzacji. Tokeny dostępu do surowych diffów i patchy pull requestów były ograniczone do nazwy repozytorium i numeru pull requesta, a nie do globalnie unikalnego identyfikatora repozytorium, więc atakujący, który utworzył repozytorium i pull request o nazwie i numerze odpowiadającym celowi, mógł użyć tokena dla własnego repozytorium, aby pobrać zawartość prywatnego pull requesta. Eksploatacja wymagała znajomości nazwy repozytorium docelowego i prawidłowego numeru pull requesta. Podatność dotyczy wszystkich wersji GitHub Enterprise Server przed 3.22 i została naprawiona w wersjach 3.17.21, 3.18.15, 3.19.12, 3.20.8 i 3.21.6. Zgłoszono ją przez program GitHub Bug Bounty.

Podatność typu Server-Side Request Forgery (SSRF) w GitHub Enterprise Server umożliwiała zdalne wykonanie kodu na instancji. Niewystarczająca izolacja sieci pozwalała złośliwemu kodowi hooka pre-receive na podszywanie się pod wewnętrzny serwis i przekierowanie zaufanych wewnętrznych żądań do uprzywilejowanego serwisu, co prowadziło do podniesienia uprawnień i wykonania kodu. Wykorzystanie wymagało włączenia sieci dla hooków pre-receive oraz uprawnień administratora witryny lub zapisu do repozytorium z takim hookiem. Podatność dotyczyła wszystkich wersji przed 3.22 i została naprawiona w wersjach 3.17.20, 3.18.14, 3.19.11, 3.20.7 i 3.21.5.

Podatność typu time-of-check time-of-use (TOCTOU) w GitHub Enterprise Server umożliwia zdalne wykonanie kodu. Wykorzystanie wymaga uwierzytelnionego użytkownika z prawem zapisu do repozytorium oraz precyzyjnego zsynchronizowania żądań przesyłania plików. Podatność dotyczy wszystkich wersji przed 3.22 i została naprawiona w wersjach 3.17.20, 3.18.14, 3.19.11, 3.20.7 i 3.21.5.

W GitHub Enterprise Server wykryto podatność typu server-side request forgery (SSRF). Nieuwierzytelniony atakujący mógł zmusić Manage API do wysyłania spreparowanych żądań wychodzących do hosta kontrolowanego przez atakującego, a token HMAC uwierzytelniał jedynie znacznik czasu, nie ścieżkę ani treść żądania. Token przechwycony przez atakującego mógł zostać powtórzony wobec uprzywilejowanych punktów końcowych agenta zarządzającego.

GitHub Enterprise Server przed wersją 3.21 zawiera podatność na atak DoS, która pozwala nieuwierzytelnionemu atakującemu na spowodowanie nadmiernego zużycia CPU i wyczerpania puli procesów roboczych poprzez wysłanie specjalnie spreparowanego żądania HTTP POST z głęboko zagnieżdżonymi parametrami. Podatność została naprawiona w wersjach 3.20.3, 3.19.7, 3.18.10 i 3.17.16.

W GitHub Enterprise Server wykryto brak autoryzacji, który pozwalał uwierzytelnionemu użytkownikowi z prawem zapisu do dowolnego repozytorium na odczyt metadanych z prywatnych repozytoriów, do których nie miał dostępu. Luka umożliwiała enumerację identyfikatorów reguł i ujawnienie nazw repozytoriów, gałęzi, identyfikatorów commitów, ich komunikatów oraz autora pusha.

W GitHub Enterprise Server wykryto podatność polegającą na przechodzeniu poza katalog (path traversal) w kontenerze Dependabot updater. Atakujący z możliwością wykonania kodu w tym kontenerze mógł zapisywać pliki w dowolnych ścieżkach repozytorium, w tym w plikach przepływów pracy GitHub Actions, co mogło prowadzić do kradzieży sekretów.

Podatność typu odmowa usługi (DoS) w GitHub Enterprise Server umożliwiała uwierzytelnionemu użytkownikowi zakłócenie działania instancji poprzez dostarczenie pliku konfiguracyjnego notatek wydania zawierającego głęboko zagnieżdżony YAML. Podczas generowania notatek wydania plik był analizowany bez ograniczenia głębokości zagnieżdżenia, co prowadziło do nadmiernego zużycia zasobów i unieruchomienia instancji.

W GitHub Enterprise Server wykryto podatność nieprawidłowej autoryzacji, która umożliwiała tokenowi użytkownika dla aplikacji GitHub App wykonywanie operacji zapisu na publicznych repozytoriach poza zamierzonym zakresem. Atakujący mógł wykorzystać skradziony token do tworzenia zgłoszeń, komentarzy i prywatnych raportów o podatnościach, podszywając się pod ofiarę.

W GitHub Enterprise Server wykryto podatność na trwały atak XSS, umożliwiającą uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez wstrzyknięcie złośliwego ładunku w tytuł dyskusji w kategorii Q&A. Komponent AnsweredQuestionStructuredDataComponent nie odpowiednio kodował tytułów dyskusji przed umieszczeniem ich w bloku <script type="application/ld+json">, co pozwalało na wyrwanie się z kontekstu skryptu. Atak został eskalowany do pełnego XSS dzięki wykorzystaniu wsparcia JSONP w REST API do obejścia Content Security Policy.

W GitHub Enterprise Server wykryto brak autoryzacji w punkcie końcowym podsumowania różnic opisu pull requesta Copilota. Uwierzytelniony użytkownik mógł odczytać kod źródłowy z prywatnych repozytoriów, do których nie miał dostępu, poprzez podanie zakresu porównania między repozytoriami. Luka dotyczy wszystkich wersji przed 3.21 i została naprawiona w wersjach 3.17.17, 3.18.11, 3.19.8 oraz 3.20.4.

Podatność w GitHub Enterprise Server umożliwiała aplikacji OAuth uzyskanie nieautoryzowanego dostępu do zarządzania runnerami organizacji. Problem wynikał z braku wyświetlania zakresu manage_runners:org na ekranie zgody autoryzacji, co mogło zostać wykorzystane przez atakującego do skłonienia użytkownika do autoryzacji złośliwej aplikacji.

W GitHub Enterprise Server przed wersjami 3.20.3, 3.19.7, 3.18.10, 3.17.16 i 3.16.19 występuje podatność SSRF w funkcji wyszukiwania pakietów w security advisories. Atakujący może kierować żądania do wewnętrznych usług i na podstawie czasu odpowiedzi inferować wartości wrażliwych zmiennych środowiskowych, w tym sekretów i kluczy prywatnych.

W konsoli zarządzania GitHub Enterprise Server wykryto podatność na odbicie wstrzyknięcia HTML na stronie logowania, która może umożliwić kradzież danych uwierzytelniających. Parametr zapytania redirect_to w punkcie końcowym /setup/unlock był odbijany w atrybucie HTML bez odpowiedniej sanityzacji, co pozwalało wstrzyknąć element formularza przechwytujący dane administratora.

Zidentyfikowano podatność typu denial of service w GitHub Enterprise Server, która pozwalała nieautoryzowanemu atakującemu na zakłócenie działania usługi poprzez wysyłanie spreparowanych żądań z głęboko zagnieżdżonymi ładunkami JSON do nieautoryzowanego punktu API. Punkt ten analizował ciała żądań JSON kontrolowane przez użytkownika bez ograniczeń rozmiaru lub głębokości.

W GitHub Enterprise Server wykryto obejście uwierzytelniania umożliwiające nieuwierzytelnionemu atakującemu utworzenie lokalnego konta użytkownika z pominięciem skonfigurowanego zewnętrznego dostawcy tożsamości. Gdy włączone było uwierzytelnianie zewnętrzne, endpoint rejestracji nie egzekwował ograniczeń, co pozwalało na utworzenie konta i sesji bez walidacji dostawcy tożsamości. Utworzone konto miało jedynie domyślne uprawnienia bazowe instancji.

W GitHub Enterprise Server przed wersją 3.21 wykryto podatność SSRF, która pozwalała atakującemu na wyodrębnienie wrażliwych zmiennych środowiskowych poprzez atak czasowy na usługę renderowania notatników. Gdy tryb prywatny był wyłączony, przeglądarka notatników podążała za przekierowaniami HTTP bez ponownej walidacji hosta docelowego, umożliwiając nieuwierzytelnione SSRF do usług wewnętrznych. Łącząc to z zapytaniami regex do wewnętrznego API i mierząc różnice czasu odpowiedzi, atakujący mógł odgadnąć sekrety znak po znaku.

W GitHub Enterprise Server wykryto podatność nieprawidłowej autoryzacji, która pozwalała uwierzytelnionemu atakującemu ustalić nazwy prywatnych repozytoriów na podstawie ich numerycznego ID. Punkt końcowy API polityki mobilnego przesyłania nie wykonywał wczesnej kontroli autoryzacji, a komunikaty błędów walidacji zawierały pełną nazwę repozytorium, do którego wywołujący nie miał dostępu. Podatność dotyczyła wszystkich wersji przed 3.21 i została naprawiona w wersjach 3.20.1, 3.19.5, 3.18.8, 3.17.14, 3.16.17, 3.15.21 i 3.14.26.

W GitHub Enterprise Server wykryto lukę polegającą na obejściu autoryzacji, która pozwalała atakującemu z uprawnieniami administratora w jednym repozytorium na modyfikację listy recenzentów obejścia ochrony push w skanowaniu sekretów w innym repozytorium poprzez manipulację parametrem owner_id w treści żądania. Autoryzacja była weryfikowana względem repozytorium w URL, ale akcja była stosowana do innego repozytorium wskazanego w treści żądania. Wpływ ogranicza się do przypisania istniejących zaufanych użytkowników jako recenzentów obejścia; nie pozwala na dodanie dowolnych zewnętrznych użytkowników.

W GitHub Enterprise Server zidentyfikowano podatność polegającą na niewłaściwej neutralizacji danych wejściowych, która pozwalała na wstrzyknięcie elementów DOM z identyfikatorami kolidującymi z danymi inicjalizowanymi przez serwer. Kolizje te mogą nadpisać lub zaciemnić krytyczne obiekty stanu aplikacji używane przez niektóre widoki Project, prowadząc do nieautoryzowanych żądań POST lub innych nieautoryzowanych interakcji z backendem. Skuteczne wykorzystanie wymaga dostępu do instancji GitHub Enterprise Server i nakłonienia uprzywilejowanego użytkownika do obejrzenia spreparowanych treści.

W GitHub Enterprise Server wykryto podatność pozwalającą uwierzytelnionemu administratorowi Enterprise uzyskać dostęp SSH jako root poprzez wykorzystanie ucieczki przez dowiązanie symboliczne w środowiskach pre-receive hook. Atakujący mógł podmienić binaria systemowe podczas czyszczenia hooka i dodać własny klucz SSH do uprawnionych kluczy użytkownika root. Podatność dotyczyła wszystkich wersji przed 3.19 i została naprawiona w wersjach 3.14.20, 3.15.15, 3.16.11, 3.17.8, 3.18.2.