GitHub Enterprise Server, vulnerabilità di autenticazione che permette di prendere il controllo del sistema

E' stata scoperta una vulnerabilità critica a carico di varie versioni di GitHub Enterprise Server, la versione on-premise di GitHub, progettata per quelle aziende che non hanno esperienza con il cloud pubblico o che desiderano mantenere un maggiore controllo sugli accessi e sulla sicurezza.

La vulnerabilità, identificata dal codice CVE-2024-6800, può consentire di aggirare i meccanismi di autenticazione e permettere ad un aggressore di ottenere i permessi di amministrazione sul sistema preso di mira. Secondo la valutazione CVSS 4.0, la vulnerabilità ha un punteggio di gravità di 9,5 su 10, il che la classifica come un rischio estremamente elevato.

Il problema risiede in una debolezza legata allo standard di autenticazione SAML (Security Assertion Markup Language), utilizzato da molte organizzazioni per l'accesso single sign-on ai loro sistemi.

"Nelle istanze di GitHub Enterprise Server che utilizzano l'autenticazione Single Sign-On (SSO) SAML con IdP specifici che utilizzano XML di metadati di federazione firmati esposti pubblicamente, un aggressore potrebbe creare una risposta SAML per fornire e/o ottenere l'accesso a un account utente con privilegi di amministratore del sito" ha dichiarato GitHub in una nota.

Effettuando una scansione con il motore di ricerca FOFA si rilevano oltre 36500 istanze GitHub Enterprise Server accessibili pubblicamente su Internet, con una netta prevalenza negli Stati Uniti (poco più di 29 mila). Quello che però non è chiaro è il numero effettivo di macchine interessate dal problema: la vulnerabilità CVE-2024-6800 è già stata trattata nelle versioni 3.13.3, 3.12.8, 3.11.14 e 3.10.16 di GitHub Enterprise Server, con opportuni aggiornamenti correttivi che vanno inoltre a risolvere altre due vulnerabilità, CVE-2024-7711 e CVE-2024-6337, di media gravità.

E' possibile che l'installazione degli aggiornamenti possa innescare qualche errore nel processo di configurazione di alcuni servizi, ma GitHub sostiene che l'istanza GHES dovrebbe avviarsi correttamente. In ogni caso prima dell'applicazione degli aggiornamenti è consigliabile consultare la sezione "Problemi noti" alla pagina già indicata in precedenza, per verificare se possa esistere qualche inconveniente.