Уязвимость в GitHub Enterprise Server позволяет обойти аутентификацию

Уязвимость в GitHub Enterprise Server позволяет обойти аутентификацию

Уязвимость в GitHub Enterprise Server позволяет обойти аутентификацию

В GitHub Enterprise Server (GHES) была обнаружена критическая уязвимость (CVE-2024-4985), которая позволяла злоумышленнику получить несанкционированный доступ с правами администратора без предварительной аутентификации.

Преступнику не требовалось наличие учётной записи для совершения атаки. Уязвимости был присвоен наивысший уровень опасности (10 из 10).

GHES — это платформа, которая позволяет локально развернуть на серверах компании обособленное окружение для совместной разработки программного обеспечения в организации на основе технологий GitHub.

Уязвимость затрагивает все версии GHES до 3.13.0 и была устранена в версиях 3.9.15, 3.10.12, 3.11.10 и 3.12.4.

В сообщении компании говорится, что атака осуществлялась через подделку ответа SAML в экземплярах, использующих аутентификацию SAML по единому входу (SSO) с дополнительной функцией зашифрованных утверждений.

GitHub также отметил, что зашифрованные утверждения не включены по умолчанию. Баг не влияет на экземпляры, которые не используют единую авторизацию SAML (SSO), и на те, что используют аутентификацию SAML SSO без зашифрованных утверждений.

Зашифрованные утверждения позволяют администраторам сайтов повысить безопасность экземпляра GHES с помощью SAML SSO, зашифровав сообщения, которые поставщик идентификационных данных SAML (IdP) отправляет в процессе аутентификации.

Специалисты рекомендуют организациям обновиться до последней версии, чтобы защитить себя от потенциальных угроз безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Проблемы с интернетом и платежами привели к росту оборота наличных

В III квартале 2025 года объем наличных денег в обращении вырос в пять раз по сравнению с тем же периодом 2024 года. На рост повлияли ограничения мобильного интернета, а также ужесточение правил проведения платежей и переводов.

Согласно данным Банка России, которые приводят «Известия», за указанный период в обращении находилось 659 млрд рублей. Годом ранее эта сумма составляла 137,4 млрд.

Тем не менее показатель остаётся ниже уровня июля–сентября 2022 года, когда граждане массово снимали наличные на фоне экономической неопределённости.

Крупные банки — Газпромбанк, ПСБ, «Дом.РФ» и «Абсолют банк» — не зафиксировали резкого роста снятия наличных. Однако финансовые организации отмечают, что клиенты не вернули на счета средства, ранее снятые со вкладов, хотя обычно это происходит после отпускного сезона.

По оценке регулятора, главным фактором повышенного спроса на наличные стали перебои с мобильным интернетом. Многие предпочли иметь при себе запас денег на случай, если безналичная оплата окажется недоступной.

«Для многих отключение мобильного интернета в ряде регионов стало сигналом, что необходимо иметь при себе определенный запас наличных», — отметила руководитель отдела макроэкономического анализа ФГ «Финам» Ольга Беленькая.

Эксперты добавляют, что спрос на наличные вырос и из-за усиления банковского контроля над подозрительными операциями. Опасаясь блокировок и задержек, часть пользователей предпочла перейти к расчётам наличными.

Свою роль сыграло и то, что с 1 июля 2025 года налоговые органы получили право точечно проверять платежи по картам. Как напомнила старший аналитик «Риком-Траст» Валерия Попова, это также подтолкнуло некоторых граждан к более частому использованию наличных.

Дополнительным фактором стало снижение привлекательности вкладов из-за уменьшения базовой ставки. По оценке ведущего аналитика AMarkets Игоря Расторгуева, за первые шесть месяцев года со вкладов было выведено около 200 млрд рублей. Несмотря на это, доля безналичных платежей в экономике остаётся высокой — на уровне 87%. Эксперты считают, что рост операций с наличными отражает скорее прагматичную реакцию граждан на изменения, чем свидетельствует о системных сдвигах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru