The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимость в GitHub Enterprise Server, дающая права администратора без аутентификации

21.05.2024 08:43

В корректирующих обновлениях платформы GitHub Enterprise Server 3.12.4, 3.11.10, 3.10.12 и 3.9.15, предназначенной для развёртывания на собственном оборудовании обособленного окружения для совместной разработки на основе технологий GitHub, выявлена уязвимость (CVE-2024-4985), позволяющая получить доступ с правами администратора без прохождения аутентификации. Проблема проявляется только в конфигурациях с единой точкой входа на основе технологии SAML, в которых включено шифрование сообщений от провайдеров идентификации ("encrypted assertions"). По умолчанию данный режим отключён, но преподносится как дополнительная возможность для усиления безопасности, активируемая в настройках "Settings/Authentication/Require encrypted assertions".

Уязвимости присвоен критический уровень опасности (10 из 10). Для совершения атаки наличие учётной записи не требуется. Подробности об эксплуатации уязвимости не приводятся, лишь упоминается, что атака осуществляется через подделку ответа SAML. Сведения об уязвимости получены от участника программы GitHub Bug Bounty, выплачивающей вознаграждения за обнаружения проблем с безопасностью.

  1. Главная ссылка к новости (https://enterprise.github.com/...)
  2. OpenNews: В сеть попали исходные коды GitHub и GitHub Enterprise
  3. OpenNews: Уязвимость, позволяющая осуществить подстановку SQL-кода в GitHub Enterprise
  4. OpenNews: Уязвимость в GitHub Actions, допускающая подстановку команд
  5. OpenNews: В ходе атаки на GitHub захвачены ключи для подписи приложений GitHub Desktop и Atom
  6. OpenNews: Атака на GitHub, приведшая к утечке приватных репозиториев и доступу к инфраструктуре NPM
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/61220-github
Ключевые слова: github
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (23) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (2), 09:12, 21/05/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +9 +/
    > По умолчанию данный режим отключён,
    > но преподносится как дополнительная возможность для усиления безопасности

    Это просто прекрасно.

     
     
  • 2.5, Аноним (5), 09:43, 21/05/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    эпик фейл
     
  • 2.18, дАнон (?), 16:43, 21/05/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Напомню, кличка первой собачки или фамилия по матери, тоже до сих пор для безопаски юзера используется...
     
     
  • 3.25, Аноним (25), 21:04, 22/05/2024 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Надо по заповедям бородатого жиртреста делать:

    Шли семидесятые годы, и Ричард Столлман начал замечать изменения в своем любимом заповеднике. Первое нашествие произошло, когда Официально Санкционированным Пользователям стали назначаться пароли, а все неавторизованные пользователи не допускались к системе. Как истинный хакер, РМС презирал пароли, и он гордился тем фактом, что компьютеры, которые он обслуживал, не имели никаких паролей. Но департамент компьютерной науки в МТИ (которым управляли другие люди, не имевшие отношения к лаборатории ИИ) решил установить на его машине систему безопасности.

    Столлман поднял целую кампанию, чтобы отменить эту практику. Он призывал людей использовать пароль в виде пустой строки — «возврат каретки» вместо целого слова. Так что когда машина спрашивала у вас пароль, вам было достаточно нажать RETURN, и вы могли войти в систему. Столлман также сумел взломать код системы шифрации и сумел расшифровать файл, в котором лежали пароли. Он начал рассылать пользователям сообщения, которые появлялись на экране, после того как они регистрировались в системе:


    Я вижу, что вы выбрали пароль [такой-то]. Я предполагаю, что вы можете переключиться на пароль «возврат каретки». Его гораздо легче набирать, и это соответствует принципу, по которому здесь не должно быть паролей.


    «В конце концов, я сумел добиться, чтобы пятая часть пользователей на машине имела пустой пароль», — хвастался потом РМС.

     
  • 2.19, penetrator (?), 16:53, 21/05/2024 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Clouds - это надежно, scale on demand )))

    SSO - это централизованный надежный способ аутенфикации )))

    Docker - безопасность, изоляция и отличное управление ресурсами )))

    Не не, никакого оверхеда и усложнения технического решения, все просто тяп-ляп и в продакшен )))

     
     
  • 3.20, Аноним (20), 00:40, 22/05/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Все это в умелых руках решает массу проблем, в основном организационных, но и технических тоже. В руках неумелых никаких не решает и добавляет оверхед на всех уровнях.
     
     
  • 4.21, penetrator (?), 16:23, 22/05/2024 [^] [^^] [^^^] [ответить]  
  • +/
    массой там даже и не пахнет, при том одно лечим, другое калечим, так еще и платим по барски за этот банкет
     
  • 4.22, penetrator (?), 16:26, 22/05/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Все это в умелых руках решает массу проблем, в основном организационных, но
    > и технических тоже. В руках неумелых никаких не решает и добавляет
    > оверхед на всех уровнях.

    да что ж такое, не прошло и полдня, и опять чьи-то "неумелые" руки

    Fluent Bit насчитывает более 10 миллиардов внедрений и применяется для обработки и сбора логов и метрик во многих компаниях и облачных платформах, например, среди пользователей отмечаются Google Cloud, AWS, DigitalOcean, vmWare, Cisco, Microsoft, Lyft, LinkedIn, Walmart, Couchbase, Swift и Dell. В течение марта было загружено 13 млн Docker-образов с Fluent Bit. По данным компании Tenable, выявившей уязвимости, многие облачные сервисы не блокируют доступ к Web API для получения внутренних метрик, таких как uptime, и для обработки обращений к подобным API используется Fluent Bit.

     

  • 1.3, 1 (??), 09:15, 21/05/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Кто хотел свой маааленький обособленный житик ? А не идти на поклон к мелкомягким ?
     
     
  • 2.4, Аноним (4), 09:22, 21/05/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ни разу не видел, чтобы в работе использовали житхаб es. А уж для себя так вообще бред.
     
     
  • 3.24, Электрон (?), 19:46, 22/05/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Спасибо, понятно где аноним доселе работал (точнее где никогда не работал).
     
  • 3.26, Аноним (26), 12:13, 26/05/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Ни разу не видел, чтобы в работе использовали житхаб es.

    Заметно, по тому как вы его называние, устоящийся акторим - GHE. А ES что то с Испанией было бы связано.
    Администрирую несколько GHE и GitLab и GitLab инстансов. С GHE всегда сложности, т.к. он установлен официальным способом через образы для VM. А GitLab в Docker развернут, гораздо проще обновлять, бекапить и т.д.

     

  • 1.6, Пряник (?), 10:00, 21/05/2024 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +1 +/
     

     ....ответы скрыты (6)

  • 1.7, Аноним (8), 10:00, 21/05/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > Проблема проявляется только в конфигурациях с единой точкой входа на основе технологии SAML,

    А, что? Атакующему тоже централизация удобно оказалась?! Надо же! :)

    > в которых включено шифрование сообщений от провайдеров идентификации ("encrypted
    > assertions"). По умолчанию данный режим отключён, но преподносится как
    > дополнительная возможность для усиления безопасности,

    Ну так написано же - это не баг, это фича. Видите, все зашифровано, централизовано, безопасТнее просто некуда. Расслабьтесь и получайте удовольствие.

     
  • 1.10, К.О. (?), 10:37, 21/05/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Энтерпрайзненько
     
  • 1.15, Аноним (20), 11:54, 21/05/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Однозначно бэкдор.
    В принципе, любой софт от корпораций, использующийся в чувствительных вещах, где сосредотачиваются данные и управление ими, протроянен с вероятностью 1.
     
     
  • 2.23, Аноним (23), 17:50, 22/05/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Неа. Просто вебня, она такая вебня, что надёжно не сделает никогда. Ну вот так дано в природе.

    Причина в ценах и востребованности. В ущерб безопасности лабают продукты, т.к. тогда хомка приносит сам деньги, иногда даже неосознанно.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру