GitHub a déployé des correctifs pour corriger une faille de gravité maximale dans GitHub Enterprise Server (GHES) qui pourrait permettre à un attaquant de contourner les protections d’authentification.
Suivi comme CVE-2024-4985 (score CVSS : 10,0), le problème pourrait permettre un accès non autorisé à une instance sans nécessiter d’authentification préalable.
“Sur les instances qui utilisent l’authentification unique SAML (SSO) avec la fonctionnalité facultative d’assertions chiffrées, un attaquant pourrait forger une réponse SAML pour fournir et/ou accéder à un utilisateur disposant de privilèges d’administrateur”, a déclaré la société dans un avis.
GHES est une plateforme auto-hébergée pour le développement de logiciels, permettant aux organisations de stocker et de créer des logiciels à l’aide du contrôle de version Git ainsi que d’automatiser le pipeline de déploiement.
Le problème affecte toutes les versions de GHES antérieures à 3.13.0 et a été résolu dans les versions 3.9.15, 3.10.12, 3.11.10 et 3.12.4.
GitHub a en outre noté que les assertions chiffrées ne sont pas activées par défaut et que la faille n’affecte pas les instances qui n’utilisent pas l’authentification unique (SSO) SAML ou celles qui utilisent l’authentification SAML SSO sans assertions chiffrées.
Les assertions chiffrées permettent aux administrateurs de site d’améliorer la sécurité d’une instance GHES avec SAML SSO en chiffrant les messages que le fournisseur d’identité SAML (IdP) envoie pendant le processus d’authentification.
Il est recommandé aux organisations qui utilisent une version vulnérable de GHES de mettre à jour vers la dernière version pour se protéger contre les menaces de sécurité potentielles.
