CVE-2024-53859

go-gh, komut satırından `gh` aracı ve GitHub API ile etkileşim kurmak için kullanılan bir Go modülüdür. `go-gh` içerisinde, bir codespace içerisindeyken GitHub ana bilgisayarları için amaçlanan kimlik doğrulama belirteçlerinin (authentication tokens), GitHub dışındaki ana bilgisayarlara sızmasına neden olabilecek bir güvenlik zafiyeti tespit edilmiştir. `go-gh`, ilgili ana bilgisayara bağlı olarak kimlik doğrulama belirteçlerini farklı ortam değişkenlerinden alır: 1. GitHub.com ve ghe.com için `GITHUB_TOKEN`, `GH_TOKEN` ve 2. GitHub Enterprise Server için `GITHUB_ENTERPRISE_TOKEN`, `GH_ENTERPRISE_TOKEN`. Versiyon `2.11.1` öncesinde, `auth.TokenForHost` fonksiyonu, bir codespace içerisindeyken GitHub.com veya ghe.com dışındaki bir ana bilgisayar için `GITHUB_TOKEN` ortam değişkeninden bir belirteç alabiliyordu. Versiyon `2.11.1` ile birlikte, `auth.TokenForHost` yalnızca GitHub.com veya ghe.com ana bilgisayarları için `GITHUB_TOKEN` ortam değişkeninden belirteç alacaktır. Başarılı bir istismar, kimlik doğrulama belirtecinin istenmeyen bir ana bilgisayara gönderilmesine yol açabilir. Bu sorun versiyon 2.11.1'de giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Kullanıcıların ayrıca kimlik doğrulama belirteçlerini yeniden oluşturmaları; kişisel güvenlik günlüklerini ve hesapları veya işletmeleriyle ilişkili eylemler için ilgili denetim günlüklerini incelemeleri tavsiye edilir.