CVE-2026-8606
Təsvir
GitHub Enterprise Server-də hücumçunun təhlükəsizlik məsləhətləri paketi axtarış funksiyası vasitəsilə serveri daxili xidmətlərə HTTP sorğuları göndərməyə məcbur etməsinə şərait yaradan Server-Side Request Forgery (SSRF) zəifliyi aşkar edilmişdir. Sorğuları daxili idarəetmə xidmətinə yönləndirmək və cavab müddətini ölçmək yolu ilə hücumçu, imzalama sirləri və gizli açarlar da daxil olmaqla həssas mühit dəyişənlərinin dəyərlərini müəyyən edə bilərdi. Zəifliyin istismarı üçün GitHub Packages-in aktiv olması tələb olunurdu; özəl rejimdə (private mode) işləməyən nümunələrdə bu zəiflik autentifikasiyasız istismar edilə bildiyi halda, digər hallarda hər hansı autentifikasiya olunmuş istifadəçi onu istismar edə bilərdi. Bu zəiflik GitHub Enterprise Server-in 3.21.1 versiyasından əvvəlki bütün versiyalarına təsir etmiş və 3.20.3, 3.19.7, 3.18.10, 3.17.16 və 3.16.19 versiyalarında aradan qaldırılmışdır. Bu zəiflik GitHub Bug Bounty proqramı vasitəsilə bildirilmişdir.
Necə düzəltmək olar
- github enterprise_server3.16.19, 3.17.16, 3.18.10, 3.19.7, 3.20.3 və ya daha yeni versiya
- docs.github.com/en/[email protected]/admin/release-notes#3.21.1
- docs.github.com/en/[email protected]/admin/release-notes#3.20.3
- docs.github.com/en/[email protected]/admin/release-notes#3.19.7
- docs.github.com/en/[email protected]/admin/release-notes#3.18.10
- docs.github.com/en/[email protected]/admin/release-notes#3.17.16
- docs.github.com/en/[email protected]/admin/release-notes#3.16.19
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github enterprise_server | v < 3.16.19, 3.17.0 ≤ v < 3.17.16, 3.18.0 ≤ v < 3.18.10, 3.19.0 ≤ v < 3.19.7, 3.20.0 ≤ v < 3.20.3, 3.21.0 | 3.16.19, 3.17.16, 3.18.10, 3.19.7, 3.20.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.