Уязвимость в GitHub Enterprise Server позволяет обойти аутентификацию

Уязвимость в GitHub Enterprise Server позволяет обойти аутентификацию

Уязвимость в GitHub Enterprise Server позволяет обойти аутентификацию

В GitHub Enterprise Server (GHES) была обнаружена критическая уязвимость (CVE-2024-4985), которая позволяла злоумышленнику получить несанкционированный доступ с правами администратора без предварительной аутентификации.

Преступнику не требовалось наличие учётной записи для совершения атаки. Уязвимости был присвоен наивысший уровень опасности (10 из 10).

GHES — это платформа, которая позволяет локально развернуть на серверах компании обособленное окружение для совместной разработки программного обеспечения в организации на основе технологий GitHub.

Уязвимость затрагивает все версии GHES до 3.13.0 и была устранена в версиях 3.9.15, 3.10.12, 3.11.10 и 3.12.4.

В сообщении компании говорится, что атака осуществлялась через подделку ответа SAML в экземплярах, использующих аутентификацию SAML по единому входу (SSO) с дополнительной функцией зашифрованных утверждений.

GitHub также отметил, что зашифрованные утверждения не включены по умолчанию. Баг не влияет на экземпляры, которые не используют единую авторизацию SAML (SSO), и на те, что используют аутентификацию SAML SSO без зашифрованных утверждений.

Зашифрованные утверждения позволяют администраторам сайтов повысить безопасность экземпляра GHES с помощью SAML SSO, зашифровав сообщения, которые поставщик идентификационных данных SAML (IdP) отправляет в процессе аутентификации.

Специалисты рекомендуют организациям обновиться до последней версии, чтобы защитить себя от потенциальных угроз безопасности.

Подпишитесь на новости

Работа в ИТ стала красным флагом для некоторых женщин

Хорошая зарплата, востребованная профессия, работа в известной компании — казалось бы, отличный набор для знакомства. Но у некоторых американских айтишников название работодателя превращает флирт в разговор об этике и политике. Вместо обсуждения следующего свидания приходится объяснять карьерный выбор.

Как пишет Wired, сотрудник Palantir Гэри столкнулся с настолько резкими реакциями женщин, что теперь предпочитает скрывать место работы.

Даже друзья попросили его не упоминать компанию на вечеринках, чтобы не портить шансы всей группы познакомиться.

У сотрудника Tesla Джеймса другая проблема: собеседницы задают вопросы о его политических взглядах. Работа в компании Илона Маска становится поводом подозревать симпатии к её руководителю.

Специалист по знакомствам Эми Лоран связывает это с претензиями к технологическим гигантам из-за слежки, неравенства и вытеснения работников искусственным интеллектом. По её наблюдениям, профессию клиента теперь порой приходится подавать с оговоркой.

Получается, что человек приходит знакомиться, а вместе с ним на свидании незримо присутствует репутация работодателя. Должность становится коротким ответом на гораздо более сложный вопрос — какие у человека ценности. Хотя сама по себе запись в резюме этого не объясняет.

Тем не менее объявлять айтишников нежелательными партнёрами рано. Но рассчитывать, что известный технологический бренд автоматически добавит привлекательности, героям публикации уже не приходится.

RSS: Новости на портале Anti-Malware.ru