CVE-2022-23739
Açıklama
GitHub Enterprise Server'da, GitHub App'lerinden gelen GraphQL API isteklerinde yetki yükseltmeye olanak tanıyan hatalı bir yetkilendirme zafiyeti tespit edildi. Bu zafiyet, bir organizasyona yüklenen uygulamanın; kullanıcılar ve organizasyon genelindeki projeler gibi, verilen izinlerden bağımsız olarak depolara bağlı olmayan çoğu organizasyon düzeyindeki kaynağa erişmesine ve bunları değiştirmesine izin veriyordu. Depo dosya içeriği, depoya özel projeler, sorunlar veya çekme istekleri gibi depolarla ilişkili kaynaklar etkilenmedi. Bu zafiyet, 3.7.1 öncesindeki tüm GitHub Enterprise Server sürümlerini etkilemiş olup 3.3.16, 3.4.11, 3.5.8, 3.6.4 ve 3.7.1 sürümlerinde giderilmiştir. Bu zafiyet, GitHub Bug Bounty programı aracılığıyla bildirilmiştir.
Nasıl düzeltilir
- github enterprise_server3.3.16, 3.4.11, 3.5.8, 3.6.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github enterprise_server | v < 3.3.16, 3.4.0 ≤ v < 3.4.11, 3.5.0 ≤ v < 3.5.8, 3.6.0 ≤ v < 3.6.4, 3.7.0 | 3.3.16, 3.4.11, 3.5.8, 3.6.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.