CVE-2026-76851
Təsvir
GitHub Enterprise Server-də instansiya üzərində uzaqdan kodun icrasına imkan verən Server-Side Request Forgery (SSRF) zəifliyi aşkar edilmişdir. Qeyri-kafi şəbəkə izolyasiyası zərərli pre-receive hook koduna daxili xidməti təqlid etməyə və etibarlı daxili sorğuları imtiyazlı xidmətə yönləndirməyə imkan vermişdir ki, bu da imtiyazların yüksəldildiyi kodun icrasına gətirib çıxarmışdır. Zəifliyin istismarı üçün pre-receive hook şəbəkəsinin aktiv olması və ya sayt administratoru imtiyazlarının, yaxud konfiqurasiya edilmiş pre-receive hook ehtiva edən repozitoriyaya yazı girişinin olması tələb olunurdu. Bu zəiflik GitHub Enterprise Server-in 3.22 versiyasından əvvəlki bütün versiyalarına təsir etmişdir və 3.17.20, 3.18.14, 3.19.11, 3.20.7 və 3.21.5 versiyalarında aradan qaldırılmışdır. Bu zəiflik GitHub Bug Bounty proqramı vasitəsilə bildirilmişdir.
Necə düzəltmək olar
- github enterprise_server3.17.20, 3.18.14, 3.19.11, 3.20.7, 3.21.5 və ya daha yeni versiya
- docs.github.com/en/[email protected]/admin/release-notes#3.17.20
- docs.github.com/en/[email protected]/admin/release-notes#3.18.14
- docs.github.com/en/[email protected]/admin/release-notes#3.19.11
- docs.github.com/en/[email protected]/admin/release-notes#3.20.7
- docs.github.com/en/[email protected]/admin/release-notes#3.21.5
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github enterprise_server | v < 3.17.20, 3.18.0 ≤ v < 3.18.14, 3.19.0 ≤ v < 3.19.11, 3.20.0 ≤ v < 3.20.7, 3.21.0 ≤ v < 3.21.5 | 3.17.20, 3.18.14, 3.19.11, 3.20.7, 3.21.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.